xj2268-ta/kvm-januscapeCVE-2026-53359 취약점 패치
dump_tool.py는 오프셋을 자동으로 찾는 도구입니다. 사용법은 코드를 직접 확인하세요.
CVE-2026-53359(Januscape)는 Linux 커널 KVM 섀도 MMU에서 발생하는 use-after-free(UAF) 취약점입니다.
kvm_mmu_get_page() 함수는 해시 테이블에서 재사용 가능한 섀도 페이지 테이블을 찾을 때 gfn(게스트 물리 페이지 프레임 번호)만 비교하고 role(페이지 테이블 역할/MMU 역할)은 비교하지 않아, 역할이 일치하지 않는 페이지 테이블이 잘못 재사용되어 UAF가 발생합니다.
修复前（有漏洞）：
┌──────────────────────────────────────┐
│ kvm_mmu_get_page() │
│ 遍历哈希表 │
│ if (child->gfn == gfn) │
│ return child ← 只比较gfn！ │
│ 角色不匹配也复用 → UAF！ │
│ 分配新页（安全） │
└──────────────────────────────────────┘
상위 커널 커밋 81ccda30b4e8에서 role 비교 한 줄이 추가되었습니다:
// 修复前
if (... && spte_to_child_sp(*sptep)->gfn == gfn)
// 修复后
if (... && spte_to_child_sp(*sptep)->gfn == gfn
&& spte_to_child_sp(*sptep)->role.word == role.word)
커널 소스 코드를 수정하거나 함수를 교체하지 않고, 실행 중인 커널 메모리에서 취약한 명령어를 직접 변경합니다.
二进制层面：
偏移 0x104: 49 39 47 28 cmp %rax, 0x28(%r15) ← 比较 gfn
偏移 0x108: 0f 84 9f 01 00 00 je +0x19f ← 匹配就跳转复用
打补丁后：
偏移 0x108: 66 0f 1f 44 00 00 NOP × 6 ← 什么也不做
修复后：
┌──────────────────────────────────────┐
│ kvm_mmu_get_page() │
│ 遍历哈希表 │
│ if (child->gfn == gfn) │
│ NOP（跳转被抹掉，滑过去） │
│ 分配新页（强制走安全路径） │
│ → 不复用 = 不触发 UAF = 漏洞修复 │
└──────────────────────────────────────┘
kallsyms_lookup_name를 통해 kvm_mmu_get_page 함수 주소를 찾습니다.kallsyms_lookup_name를 통해 text_poke 함수(커널 코드 핫 수정 API)를 찾습니다.stop_machine으로 모든 CPU를 중지하여 수정이 안전하도록 보장합니다.text_poke로 6바이트의 je 명령어를 6바이트의 NOP로 교체합니다.text_poke로 원래 명령어를 복원합니다.| 방식 | 문제 |
|---|---|
| 커널 업그레이드 후 재부팅 | 호스트 재부팅 필요, 모든 VM 중단 |
| nested=0(중첩 가상화 비활성화) | 중첩 가상화 기능 상실, VM 안에서 VM을 실행할 수 없음 |
| kpatch 방식 | kernel-debuginfo 필요, 컴파일 시간 10~20분, 의존성 복잡 |
| ftrace 함수 교체 | kvm_mmu_get_child_sp가 GCC에 의해 인라인되어 독립된 함수 진입점 없음 |
| 나의 text_poke 방식 | 컴파일 10초, .c 파일 하나, 취약 명령어 직접 수정 |
| 기능 | 영향 |
|---|---|
| 호스트 재부팅 | 필요 없음 |
| VM 재시작/마이그레이션 | 필요 없음 |
| 중첩 가상화(VM 안에서 VM 실행) | 유지, 정상 사용 가능 |
| VM 생성/시작 | 정상 |
| KSM 메모리 병합 | 영향 없음, 독립 기능 |
| CPU 성능 | 거의 영향 없음(NOP는 CPU를 소비하지 않음) |
| 메모리 | 섀도 페이지 테이블을 더 이상 재사용하지 않아 매번 새 페이지를 할당하므로 메모리를 약간 더 사용 |
| KVM 모듈 언로드 | 정상(rmmod가 원래 코드 자동 복원) |
| 조건 | 설명 |
|---|---|
| 커널 버전 | Linux 4.18+(CentOS 8 / RHEL 8 / Rocky 8 등) |
| 컴파일 환경 | kernel-devel + gcc + make |
| 호스트 재부팅 | 필요 없음 |
| VM 중지 | 필요 없음 |
| 중첩 가상화 | 유지 |
# 编译
make
# 加载热补丁
insmod KVM-XJ.ko
# 查看状态
dmesg | grep KVM-XJ
cat /sys/module/kvm_intel/parameters/nested # 应该还是 1
lsmod | grep KVM_XJ
# 卸载（恢复原始代码）
rmmod KVM_XJ
커널 버전마다 컴파일 최적화가 달라 je 명령어 오프셋도 다릅니다. dump_tool.py로 자동 분석합니다:
# 1. 从母鸡下载 kvm.ko
scp root@母鸡:/lib/modules/.../kvm.ko.xz .
xz -d kvm.ko.xz
# 2. 运行分析工具
python dump_tool.py kvm.ko
# 3. 工具会输出 patch 偏移，修改 KVM-XJ.c 中的 0x108
| 커널 버전 | je 오프셋 | 상태 |
|---|---|---|
| 4.18.0-496.el8.x86_64 | 0x108 | 테스트 완료 |
| 4.18.0-358.el8.x86_64 | 0xe8 | 테스트 완료 |