Una vulnerabilità del kernel Linux in KVM può consentire agli aggressori di evadere dalle macchine virtuali

I ricercatori hanno divulgato una vulnerabilità del kernel Linux che potrebbe consentire a una macchina virtuale malevola di evadere dalla propria sandbox e compromettere il sistema host. Il problema, tracciato come CVE-2026-53359 e soprannominato Januscape, interessa il codice shadow MMU dell’hypervisor Kernel-based Virtual Machine (KVM).

La vulnerabilità è particolarmente rilevante per gli ambienti cloud e di hosting che eseguono carichi di lavoro non attendibili, soprattutto sui sistemi x86 che utilizzano la virtualizzazione annidata. Secondo i ricercatori, si tratta del primo exploit KVM dimostrato come funzionante su entrambe le piattaforme Intel e AMD.

Il bug è stato individuato dal ricercatore di sicurezza Hyunwoo Kim, che lo ha presentato come zero-day nel programma kvmCTF di Google. Questo programma di bug bounty in stile contest offre ricompense fino a 250.000 dollari per vulnerabilità che consentono la completa evasione da una macchina virtuale. Kim ha spiegato che il problema è una condizione use-after-free che può essere sfruttata dall’interno di un guest per corrompere lo stato delle pagine shadow del kernel host.

Perché il problema è importante

Se sfruttato con successo, Januscape potrebbe consentire a un aggressore di passare dalla macchina virtuale guest all’host sottostante. Questo apre la strada a due conseguenze principali:

• Interrompere il funzionamento degli altri tenant sullo stesso server fisico mandando in crash il kernel host
• Ottenere l’esecuzione di codice con privilegi root sull’host e potenzialmente controllare tutte le macchine guest presenti sul sistema

Kim ha osservato che su alcune distribuzioni Linux, tra cui Red Hat Enterprise Linux, la vulnerabilità può essere utilizzata anche da utenti locali non privilegiati per ottenere privilegi root.

In pratica, lo sfruttamento richiede l’accesso root all’interno della macchina virtuale guest. Questo livello di accesso viene spesso concesso per impostazione predefinita ai clienti cloud a cui vengono assegnate istanze proprie. Quando l’accesso root non è disponibile, gli aggressori potrebbero combinare la vulnerabilità con un altro bug di escalation dei privilegi per raggiungere il livello necessario, ha affermato Kim.

Stato delle patch

La vulnerabilità è rimasta nascosta nel kernel Linux per 16 anni prima di essere corretta. È stata integrata nel kernel principale il 19 giugno con il commit 81ccda30b4e8.

La divulgazione si aggiunge a un elenco in crescita di vulnerabilità del kernel Linux utilizzate o dimostrate per l’escalation dei privilegi e la compromissione degli host, evidenziando i rischi affrontati dai provider che gestiscono infrastrutture condivise.