Une faille de Linux KVM permet une évasion de l’invité vers l’hôte sur les systèmes x86 Intel et AMD

Une vulnérabilité récemment révélée dans la machine virtuelle basée sur le noyau (KVM) de Linux pourrait permettre à une machine virtuelle invitée malveillante d’interférer avec le système hôte et, dans certains cas, de s’échapper complètement de l’environnement invité. Référencée sous le numéro CVE-2026-53359 et surnommée Januscape, cette faille affecte le code du MMU fantôme utilisé par KVM sur les plateformes x86 Intel et AMD.

Le chercheur en sécurité Hyunwoo Kim a signalé la faille après avoir découvert que KVM pouvait confondre un type de page fantôme avec un autre lors de la réutilisation de la mémoire. Cette erreur peut corrompre la gestion interne de l’hyperviseur. Dans le cas le plus courant, le noyau hôte détecte l’incohérence et plante, ce qui peut interrompre toutes les machines virtuelles exécutées sur la même machine. Selon le chercheur, une méthode d’exploitation plus avancée peut transformer cette même faille en exécution de code sur l’hôte.

Pourquoi cette faille est importante

La faille existerait depuis l’ajout du code concerné au noyau en 2010 et serait passée inaperçue pendant environ 16 ans. Elle ne nécessite pas l’intervention de QEMU ni d’un autre logiciel de virtualisation en espace utilisateur, et peut être exploitée depuis un invité disposant d’un accès root, lorsque la virtualisation imbriquée est activée sur l’hôte.

• Fonctionne contre Linux KVM sur les systèmes x86 Intel et AMD
• Peut être déclenchée depuis une machine virtuelle invitée avec des privilèges root
• Exploite le chemin historique du MMU fantôme lorsque la virtualisation imbriquée est activée
• Peut entraîner des plantages de l’hôte ou, dans le cadre d’une exploitation plus complexe, une compromission de l’hôte

Le programme de primes aux bugs kvmCTF de Google a notamment servi de canal pour soumettre cette vulnérabilité. La preuve de concept publique démontre actuellement un plantage du système hôte, tandis que le chercheur affirme qu’un autre exploit, non publié, permet d’obtenir une exécution complète de code sur l’hôte.

Correctif et mesures d’atténuation

La vulnérabilité a été corrigée par une petite modification de la logique de réutilisation des pages de KVM : le numéro de trame et le rôle de la page doivent désormais tous deux correspondre avant qu’une page fantôme puisse être réutilisée. Le correctif a été intégré aux noyaux stables principaux le 4 juillet 2026, et des rétroportages sont apparus dans plusieurs versions prises en charge.

Les administrateurs qui exploitent des environnements KVM x86 mutualisés devraient vérifier que leurs noyaux incluent le correctif, en particulier lorsque la virtualisation imbriquée est exposée à des invités non fiables. Si l’application du correctif est retardée, la désactivation de la virtualisation imbriquée peut supprimer le vecteur d’attaque.

Les systèmes ARM64 ne sont pas affectés par ce problème, bien qu’une autre évasion KVM/arm64 ait également été signalée indépendamment.