Linux-KVM-Bug ermöglicht Ausbruch von Gast-VMs auf Intel- und AMD-x86-Systemen

Eine neu offengelegte Schwachstelle in der Kernel-basierten virtuellen Maschine (KVM) von Linux könnte es einer bösartigen Gast-VM ermöglichen, das Hostsystem zu beeinträchtigen und in einigen Fällen vollständig aus der Gastumgebung auszubrechen. Das als CVE-2026-53359 geführte und Januscape genannte Problem betrifft den Shadow-MMU-Code, den KVM auf x86-Plattformen von Intel und AMD verwendet.

Der Sicherheitsforscher Hyunwoo Kim meldete die Schwachstelle, nachdem er festgestellt hatte, dass KVM bei der Wiederverwendung von Speicher einen Typ einer Shadow-Page mit einem anderen verwechseln konnte. Dieser Fehler kann die interne Verwaltung des Hypervisors beschädigen. Im häufigsten Fall erkennt der Host-Kernel die Inkonsistenz und stürzt ab, wodurch alle auf demselben Rechner laufenden VMs ausfallen können. Dem Forscher zufolge kann ein ausgefeilterer Exploit-Pfad dieselbe Schwachstelle in eine Ausführung von Code auf dem Host umwandeln.

Warum der Bug relevant ist

Der Bug existiert Berichten zufolge seit der Einführung des betreffenden Kernel-Codes im Jahr 2010 und blieb rund 16 Jahre lang unentdeckt. Er erfordert keine Unterstützung durch QEMU oder andere Virtualisierungssoftware im Userspace und kann aus einer Gast-VM heraus erreicht werden, die über Root-Zugriff verfügt, sofern auf dem Host verschachtelte Virtualisierung aktiviert ist.

• Funktioniert gegen Linux-KVM auf x86-Systemen von Intel und AMD
• Kann aus einer Gast-VM mit Root-Berechtigungen ausgelöst werden
• Verwendet den älteren Shadow-MMU-Pfad, wenn verschachtelte Virtualisierung aktiviert ist
• Kann zu Abstürzen des Hosts oder bei einem komplexeren Exploit zur Kompromittierung des Hosts führen

Das Bug-Bounty-Programm kvmCTF von Google war eine der Anlaufstellen, bei denen das Problem eingereicht wurde. Der öffentlich verfügbare Proof of Concept demonstriert derzeit einen Kernel-Panic auf dem Host, während der Forscher angibt, dass ein separates, noch nicht veröffentlichtes Exploit eine vollständige Codeausführung auf dem Host ermöglicht.

Behebung und Schutzmaßnahmen

Die Schwachstelle wurde durch eine kleine Änderung an der Logik zur Wiederverwendung von KVM-Seiten behoben. Demnach müssen sowohl die Frame-Nummer als auch die Seitenrolle übereinstimmen, bevor eine Shadow-Page wiederverwendet wird. Der Fix wurde am 4. Juli 2026 in die stabilen Mainline-Kernel übernommen; Backports sind in mehreren unterstützten Versionen verfügbar.

Administratoren, die x86-KVM-Umgebungen mit mehreren Mandanten betreiben, sollten überprüfen, ob ihre Kernel den Patch enthalten, insbesondere wenn nicht vertrauenswürdigen Gast-VMs verschachtelte Virtualisierung zur Verfügung steht. Wenn sich das Patchen verzögert, kann die Deaktivierung der verschachtelten Virtualisierung den Angriffsweg beseitigen.

ARM64-Systeme sind von diesem Problem nicht betroffen, allerdings wurde unabhängig davon auch ein separater KVM/arm64-Ausbruch gemeldet.