🚨 CVE-2026-53359 — Januscape

Linux KVM シャドウページング Use-After-Free（ゲストからホストへの脱出）

Januscape は、x86 Shadow MMU における Use-After-Free (UAF) 状態によって引き起こされる Linux カーネル KVM の脆弱性です。脆弱な設定では、悪意のあるゲストがホストメモリを破損させ、ホストのクラッシュや VM 分離の破綻につながる可能性があります。

---

📌 概要

📖 説明

この脆弱性は、KVM のレガシーシャドウページング実装に存在します。

以前のセキュリティ修正では Guest Frame Number (GFN) を検証していましたが、既存の kvm_mmu_page を再利用する前に シャドウページの役割 を確認していませんでした。

これにより、互換性のないシャドウページが再利用され、メモリが解放された後に古い逆マッピング (rmap) エントリが残ります。

その後の MMU 操作により解放されたメモリが逆参照され、ホストカーネルを破損させる Use-After-Free 状態が発生する可能性があります。

⚙️ 技術的根本原因

Guest modifies page mapping
        │
        ▼
Shadow page reused
without validating role
        │
        ▼
Stale rmap entry remains
        │
        ▼
Shadow page freed
        │
        ▼
Later MMU operation
dereferences freed memory
        │
        ▼
Use-After-Free

😨 カーネルパニック

[  123.456789] BUG: unable to handle page fault for address: ffff8881xxxxxxxx
[  123.456789] #PF: supervisor read access in kernel mode
[  123.456789] #PF: error_code(0x0000) - not-present page
[  123.456789] CPU: 3 PID: 1234 Comm: poc_3 Tainted: G           OE
[  123.456789] RIP: 0010:kvm_mmu_page_get_gfn+0xXX/0xXX [kvm]
...
[  123.456789] Call Trace:
[  123.456789]  pte_list_remove+0xXX/0xXX [kvm]
[  123.456789]  kvm_mmu_zap_all_fast+0xXX/0xXX [kvm]
[  123.456789]  kvm_mmu_notifier_invalidate_range+0xXX/0xXX [kvm]
...
[  123.456789] Kernel panic - not syncing: Fatal exception
[  123.456789] ---[ end Kernel panic - not syncing: Fatal exception ]---

🎯 潜在的な影響

• ホストカーネルパニック (DoS)
• ハイパーバイザーメモリ破損
• ゲストからホストへの分離違反
• 権限昇格の可能性
• マルチテナント仮想化環境におけるリスク増大

公式カーネル修正では、ページの役割が再利用前に検証されるようにすることで、シャドウページの再利用ロジックに対処しています。

🖥️ 影響を受けるシステム

潜在的に影響を受ける環境は以下の通りです：

• Linux KVM ホスト
• Intel x86 仮想化
• AMD x86 仮想化
• ネステッド仮想化環境
• KVM を使用したクラウドインフラストラクチャ

脆弱な経路は主に シャドウページング に関連しており、ネステッド仮想化が使用されている場合に悪用される可能性があります。

🔍 悪用

現在の公開情報によると：

• ✅ 公開されたサービス拒否 (DoS) PoC が利用可能
• ✅ 研究開示が公開済み
• ⚠️ 研究者はゲストからホストへの脱出エクスプロイトを報告していますが、公開リリースには主に DoS デモが含まれています。

🛡️ 緩和策

• アップストリーム修正を含む Linux カーネルに更新する。
• ベンダーのカーネルセキュリティアップデートを適用する。
• 不要な場合はネステッド仮想化を無効にする。
• 未パッチのホスト上で信頼できないゲストワークロードを制限する。

🔬 検出

管理者は次のことを行うべきです：

• Linux カーネルバージョンを監査する。
• カーネルクラッシュログ (dmesg、journalctl) を監視する。
• KVM 関連のセキュリティアドバイザリを追跡する。
• ベンダーのバックポートに公式パッチが含まれていることを確認する。

📚 参考文献

• NVD Advisory
• Linux カーネルセキュリティ修正
• oss-sec 開示
• ベンダーセキュリティアドバイザリ

⚠️ 免責事項

このリポジトリは サイバーセキュリティ教育、防御研究、インシデント対応、脆弱性認識のみ を目的としています。

攻撃的なツールやエクスプロイトコードは含まれていません。