Une faille du noyau Linux dans KVM peut permettre aux attaquants de s’échapper des machines virtuelles

Des chercheurs ont révélé une vulnérabilité du noyau Linux qui pourrait permettre à une machine virtuelle malveillante de s’échapper de son bac à sable et d’affecter le système hôte. Le problème, suivi sous le nom CVE-2026-53359 et surnommé Januscape, affecte le code de la MMU fantôme de l’hyperviseur Kernel-based Virtual Machine (KVM).

Cette faille est particulièrement importante pour les environnements cloud et d’hébergement qui exécutent des charges de travail non fiables, notamment les systèmes x86 utilisant la virtualisation imbriquée. Selon les chercheurs, il s’agit du premier exploit KVM dont le fonctionnement a été démontré sur des plateformes Intel et AMD.

Le bug a été identifié par le chercheur en sécurité Hyunwoo Kim, qui a démontré la faille zero-day dans le cadre du programme kvmCTF de Google. Ce programme de bug bounty au format concours offre des récompenses pouvant atteindre 250 000 dollars pour les vulnérabilités permettant une évasion complète d’une machine virtuelle. Kim a indiqué que le problème était une condition d’utilisation après libération qui pouvait être exploitée depuis une machine invitée afin de corrompre l’état des pages fantômes du noyau hôte.

Pourquoi cette faille est importante

En cas d’exploitation réussie, Januscape pourrait permettre à un attaquant de passer d’une machine virtuelle invitée à l’hôte sous-jacent. Cela ouvre la voie à deux conséquences majeures :

• Perturber les autres locataires du même serveur physique en provoquant le plantage du noyau hôte
• Obtenir une exécution de code avec des privilèges root sur l’hôte et potentiellement contrôler toutes les machines invitées de ce système

Kim a précisé que, sur certaines distributions Linux, notamment Red Hat Enterprise Linux, la faille pouvait également être utilisée par des utilisateurs locaux non privilégiés pour obtenir les privilèges root.

En pratique, l’exploitation nécessite un accès root à l’intérieur de la machine virtuelle invitée. Ce niveau d’accès est souvent accordé par défaut aux clients cloud auxquels leurs propres instances sont attribuées. Lorsque l’accès root n’est pas disponible, les attaquants pourraient combiner cette faille avec une autre vulnérabilité d’élévation de privilèges pour atteindre le niveau requis, a indiqué Kim.

État des correctifs

La vulnérabilité est restée dissimulée dans le noyau Linux pendant 16 ans avant d’être corrigée. Elle a été intégrée au noyau principal le 19 juin dans le commit 81ccda30b4e8.

Cette divulgation vient s’ajouter à une liste croissante de failles du noyau Linux ayant été exploitées ou démontrées à des fins d’élévation de privilèges et de compromission de l’hôte, ce qui souligne les risques auxquels sont confrontés les fournisseurs qui exploitent une infrastructure partagée.