Chinês | Inglês

---

Chinês

Tutorial de Atualização do Linux Kernel 7.1.3 para Corrigir CVE-2026-53359

Aviso: Este artigo documenta apenas o processo de correção no meu ambiente de servidor pessoal. Não é uma análise profissional de segurança. Se houver algo inadequado, correções são bem-vindas.

Nota de Verificação: Após comparação do código-fonte, foi confirmado que o Linux Kernel 7.1.3 já inclui o commit de correção 81ccda30b4e8 ("KVM: x86: Fix shadow paging use-after-free due to unexpected role"). Este patch adiciona uma condição de correspondência role.word na função kvm_mmu_get_child_sp() em arch/x86/kvm/mmu/mmu.c, eliminando fundamentalmente o UAF do shadow paging causado pela incompatibilidade de role. Portanto, atualizar para 7.1.3 pode corrigir efetivamente esta vulnerabilidade.

1. Introdução

Este documento fornece duas formas de atualizar o Linux Kernel para 7.1.3, para corrigir CVE-2026-53359: instalação via RPM ELRepo (recomendada) e compilação a partir do código-fonte.

Item	Descrição
ID do CVE	CVE-2026-53359
Componente Afetado	Shadow MMU do KVM x86 do Linux Kernel
Tipo de Vulnerabilidade	Use After Free (UAF)
Forma de Correção	Atualizar o Linux Kernel para 7.1.3 (RPM ELRepo ou compilação do código-fonte)

Impacto da Vulnerabilidade:

No cenário de Shadow Paging do KVM x86, em condições anormais, páginas liberadas podem ainda ser referenciadas por entradas rmap, causando um problema de segurança de memória.

Referências da Vulnerabilidade:

• NVD - CVE-2026-53359
• Januscape - PoC

---

2. Informações do Ambiente

Item	Informação
Sistema	CentOS Stream 8
Kernel antes da atualização	6.18.8-1.el8.elrepo.x86_64
Kernel após a atualização	7.1.3
Arquitetura	x86_64
Virtualização	KVM Intel

Verificar o ambiente atual:

cat /etc/os-release
uname -r

---

3. Métodos de Atualização

Este tutorial oferece duas formas de atualização, escolha de acordo com o ambiente:

Método Um: Instalação via RPM ELRepo (Recomendado)

Adequado para ambientes com acesso normal ao repositório ELRepo, sem necessidade de compilação, operação simples.

# Importar a chave GPG do ELRepo
rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org

# Instalar o repositório ELRepo
dnf install https://www.elrepo.org/elrepo-release-8.el8.elrepo.noarch.rpm

# Instalar o kernel mainline mais recente
dnf --enablerepo=elrepo-kernel install kernel-ml

# Definir o novo kernel como entrada de inicialização padrão
grubby --set-default /boot/vmlinuz-7.1.3-1.el8.elrepo.x86_64

# Reiniciar para aplicar
reboot

Nota: O número da versão do kernel pode mudar conforme as atualizações do ELRepo. Verifique a versão realmente instalada com ls /boot/vmlinuz-*.

Método Dois: Compilação a partir do Código-fonte

Adequado para ambientes que não podem acessar o repositório ELRepo ou que precisam usar a versão estável oficial do kernel.org. As etapas detalhadas estão abaixo.

---

4. Etapas da Compilação a partir do Código-fonte

No meu ambiente de servidor:

• O repositório RPM do Kernel ELRepo não consegue ser acessado de forma estável;
• Não foi encontrado um pacote RPM de atualização adequado para o ambiente atual;
• É necessário usar diretamente a versão de correção estável oficial do Linux Kernel;

Portanto foi adotado:

Método de compilação a partir do código-fonte oficial estável do kernel.org para atualizar o kernel.

Explicação:

Esta solução é apenas uma solução para o ambiente do meu servidor, não significa que todos os ambientes precisam usar compilação a partir do código-fonte.

---

5. Baixar o Código-fonte

Download oficial:

https://cdn.kernel.org/pub/linux/kernel/v7.x/linux-7.1.3.tar.xz

Comando de download:

wget https://cdn.kernel.org/pub/linux/kernel/v7.x/linux-7.1.3.tar.xz

Local de upload (ambiente offline):

/root/linux-7.1.3.tar.xz

---

6. Instalar Dependências de Compilação

dnf groupinstall "Development Tools" -y

dnf install -y \
  ncurses-devel \
  elfutils-libelf-devel \
  openssl-devel \
  bc \
  bison \
  flex \
  perl \
  dwarves

---

7. Extrair o Código-fonte

mkdir -p /usr/src
cd /usr/src
tar -xf /root/linux-7.1.3.tar.xz
cd linux-7.1.3
ls Makefile  # Deve mostrar: Makefile

---

8. Usar a Configuração Existente

# Copiar a configuração atual
cp /boot/config-$(uname -r) .config

# Gerar nova configuração
make olddefconfig

# Verificar a configuração do KVM
grep -E "CONFIG_KVM|CONFIG_KVM_INTEL" .config

Saída esperada:

CONFIG_KVM=m
CONFIG_KVM_X86=m
CONFIG_KVM_INTEL=m

---

9. Compilar o Kernel

# Verificar o número de threads da CPU
nproc

# Compilar (usando todos os núcleos)
make -j$(nproc)

# Verificar a imagem do kernel
ls -lh arch/x86/boot/bzImage

Nota: O tempo de compilação depende do desempenho da CPU e do armazenamento.

---

10. Instalar os Módulos do Kernel

# Instalar módulos
make modules_install

# Verificar a instalação
ls /lib/modules/

# Verificar módulos KVM
find /lib/modules/7.1.3 -name "kvm*.ko*"

Saída esperada:

kvm.ko
kvm-intel.ko
kvm-amd.ko

---

11. Instalar a Imagem do Kernel

# Instalar kernel
make install

# Verificar a instalação
ls -lh /boot | grep 7.1.3

Saída esperada:

vmlinuz-7.1.3
initramfs-7.1.3.img
System.map-7.1.3

---

12. Atualizar a Entrada de Inicialização

# Gerar a configuração do GRUB
grub2-mkconfig -o /boot/grub2/grub.cfg

# Definir o kernel padrão
grubby --set-default /boot/vmlinuz-7.1.3

# Verificar o kernel padrão
grubby --default-kernel

Saída esperada:

/boot/vmlinuz-7.1.3

---

13. Reiniciar

reboot

---

14. Verificação

Verificar a versão do kernel:

uname -r
# Esperado: 7.1.3

Verificar os módulos KVM:

lsmod | grep kvm
# Esperado: kvm_intel, kvm, irqbypass

Verificar a localização do módulo KVM:

modinfo kvm_intel | grep filename
# Esperado: /lib/modules/7.1.3/kernel/arch/x86/kvm/kvm-intel.ko

---

15. Reversão

Importante: O kernel antigo não deve ser removido imediatamente.

Listar kernels disponíveis:

grubby --info=ALL | grep kernel

Se o novo kernel tiver problemas, definir o kernel antigo:

grubby --set-default /boot/vmlinuz-6.18.8-1.el8.elrepo.x86_64
reboot

---

16. Resultado Final

Item	Antes da Atualização	Após a Atualização
Versão do Kernel	6.18.8-1.el8.elrepo.x86_64	7.1.3
Status do KVM	N/A	Ativado
CVE-2026-53359	Afetado	Corrigido

---

---

Inglês

Atualizando o Linux Kernel para 7.1.3 para Corrigir CVE-2026-53359

Aviso: Este repositório documenta apenas meu processo de correção pessoal em um ambiente de servidor específico. Não é uma análise profissional de segurança. Correções são bem-vindas.

Nota de Verificação: A comparação do código-fonte confirma que o Linux Kernel 7.1.3 inclui o commit de correção 81ccda30b4e8 ("KVM: x86: Fix shadow paging use-after-free due to unexpected role"). O patch adiciona uma condição de correspondência role.word na função kvm_mmu_get_child_sp() em arch/x86/kvm/mmu/mmu.c, eliminando o UAF do shadow paging causado pela incompatibilidade de role. Portanto, atualizar para 7.1.3 corrige efetivamente esta vulnerabilidade.

1. Introdução