🚨 CVE-2026-53359 — Januscape

Linux KVM Shadow Paging Use-After-Free (Побег из гостевой в хостовую)

Januscape — это уязвимость ядра Linux KVM, вызванная состоянием Use-After-Free (UAF) в x86 Shadow MMU. При уязвимых конфигурациях вредоносная гостевая система может повредить память хоста, что приводит к сбоям хоста и потенциально нарушает изоляцию виртуальных машин.

---

📌 Обзор

📖 Описание

Уязвимость существует в устаревшей реализации теневого страничного обмена (shadow paging) KVM.

Более раннее исправление безопасности проверяло номер кадра гостевой страницы (GFN), но не проверяло роль теневой страницы перед повторным использованием существующей kvm_mmu_page.

Это позволяет повторно использовать несовместимые теневые страницы, оставляя устаревшие записи обратного отображения (rmap) в памяти после её освобождения.

Последующие операции MMU могут разыменовывать освобождённую память, что приводит к состоянию Use-After-Free и может повредить ядро хоста.

⚙️ Техническая первопричина

Гостевая система изменяет отображение страницы
        │
        ▼
Теневая страница повторно используется
без проверки роли
        │
        ▼
Остаётся устаревшая запись rmap
        │
        ▼
Теневая страница освобождена
        │
        ▼
Более поздняя операция MMU
разыменовывает освобождённую память
        │
        ▼
Use-After-Free

😨 Паника ядра

[  123.456789] BUG: unable to handle page fault for address: ffff8881xxxxxxxx
[  123.456789] #PF: supervisor read access in kernel mode
[  123.456789] #PF: error_code(0x0000) - not-present page
[  123.456789] CPU: 3 PID: 1234 Comm: poc_3 Tainted: G           OE
[  123.456789] RIP: 0010:kvm_mmu_page_get_gfn+0xXX/0xXX [kvm]
...
[  123.456789] Call Trace:
[  123.456789]  pte_list_remove+0xXX/0xXX [kvm]
[  123.456789]  kvm_mmu_zap_all_fast+0xXX/0xXX [kvm]
[  123.456789]  kvm_mmu_notifier_invalidate_range+0xXX/0xXX [kvm]
...
[  123.456789] Kernel panic - not syncing: Fatal exception
[  123.456789] ---[ end Kernel panic - not syncing: Fatal exception ]---

🎯 Потенциальное воздействие

• Паника ядра хоста (DoS)
• Повреждение памяти гипервизора
• Нарушение изоляции гостевая → хостовая
• Возможное повышение привилегий
• Повышенный риск в средах виртуализации с несколькими арендаторами

Официальное исправление ядра устраняет логику повторного использования теневых страниц, обеспечивая проверку ролей страниц перед повторным использованием.

🖥️ Затронутые системы

Потенциально уязвимые среды включают:

• Хосты Linux KVM
• Виртуализация Intel x86
• Виртуализация AMD x86
• Развёртывания вложенной виртуализации
• Облачная инфраструктура, использующая KVM

Уязвимый путь в первую очередь связан с теневым страничным обменом (shadow paging), который может быть задействован при использовании вложенной виртуализации.

🔍 Эксплуатация

Текущая общедоступная информация указывает:

• ✅ Общедоступный PoC для отказа в обслуживании
• ✅ Опубликовано исследовательское раскрытие
• ⚠️ Исследователь сообщает об эксплойте для побега с гостевой на хостовую, хотя публичный релиз в основном включает демонстрацию DoS.

🛡️ Смягчение

• Обновить ядро Linux до версии, содержащей исправление из основной ветки.
• Применить обновления безопасности ядра от производителя.
• Отключить вложенную виртуализацию там, где она не требуется.
• Ограничить недоверенные гостевые нагрузки на незапатченных хостах.

🔬 Обнаружение

Администраторам следует:

• Проверять версии ядра Linux.
• Отслеживать журналы сбоев ядра (dmesg, journalctl).
• Следить за бюллетенями безопасности, связанными с KVM.
• Убедиться, что бэкпорты от производителя включают официальный патч.

📚 Ссылки

• Уведомление NVD
• Исправление безопасности ядра Linux
• Раскрытие на oss-sec
• Бюллетени безопасности производителей

⚠️ Отказ от ответственности

Этот репозиторий предназначен исключительно для обучения кибербезопасности, оборонительных исследований, реагирования на инциденты и повышения осведомлённости об уязвимостях.

Код для атак или эксплойтов не включён.