Linux çekirdeğinin KVM hipervizöründe, tam 16 yıldır fark edilmeyen kritik bir güvenlik açığı gün yüzüne çıktı. 'Januscape' adı verilen ve CVE-2026-53359 koduyla izlenen bu zafiyet, Intel ve AMD x86 tabanlı sistemlerde misafir sanal makinelerin (VM) ana sunucuyu (host) ele geçirmesine olanak tanıyor. Araştırmacılar, açığın yalnızca ana sistemi çökertmekle kalmayıp, ayrı bir exploit ile tam kod yürütme (full host code execution) sağlayabildiğini belirtiyor. Bu durum, özellikle çok kiracılı bulut ortamları için büyük bir tehdit oluşturuyor.
Açık, KVM'nin shadow MMU (Bellek Yönetim Birimi) kodunda bulunuyor. KVM, sanal makineleri çalıştırmak için kendi özel sayfa tablolarını (page tables) tutar. Bellek yönetimi sırasında, kullanılmayan bir sayfayı yeniden kullanmak istediğinde, sayfaları yalnızca bellek adresine göre eşleştiriyor. Ancak sorun şu: Aynı adreste farklı türde sayfalar bulunabiliyor ve bu sayfalar farklı işlevler görüyor. KVM bazen yanlış türdeki sayfayı yeniden kullanarak iç karışıklığa yol açıyor. Bu karışıklık, çekirdeğin dahili kayıtlarını bozarak sistemin çökmesine neden olabiliyor.
Çoğu durumda, çekirdek bu hatayı fark edip kendini kapatarak hasarı önlüyor. Kamuya açık proof-of-concept (PoC) ile bir misafir VM, ana sunucuyu ve aynı makinedeki diğer VM'leri çökertebiliyor. Ancak daha nadir ve tehlikeli bir senaryoda, boşaltılan sayfa başka bir kullanıma verilmeden önce temizlik işlemi yapılıyor ve bu temizlik, artık ait olmadığı bir bellek bölgesine değer yazıyor. Saldırgan, yazma işleminin nereye yapılacağını kontrol edebiliyor, ne yazıldığını değil. Ancak bu sınırlı erişim bile, uzman ellerde ana sistemde kod çalıştırmaya kadar ilerletilebiliyor.
Açık, Intel ve AMD işlemcilerde aynı şekilde çalışıyor. Ancak tam kontrol elde etme aşamasında her iki platformda farklı yöntemler gerekiyor. Zafiyetten yararlanmak için misafir VM tarafında root yetkisi ve ana sunucuda iç içe sanallaştırma (nested virtualization) özelliğinin etkin olması gerekiyor. Bulut hizmetlerinde kiralanan VM'lerde genellikle root erişimi bulunuyor. Ayrıca, donanım destekli sanallaştırma (EPT/NPT) kullanılsa bile, iç içe sanallaştırma etkinleştirildiğinde KVM eski shadow MMU'ya dönüyor ve açık tetiklenebiliyor.
Araştırmacı Kim, bu açığı Google'ın kvmCTF programına zero-day olarak sundu. kvmCTF, misafirden ana sisteme geçiş (guest-to-host escape) için 250.000 dolara kadar ödül veren kontrollü bir güvenlik açığı programı. Kim, aynı açığın /dev/kvm dosyasının dünya yazılabilir (0666) olduğu RHEL gibi dağıtımlarda yerel yetki yükseltme (local privilege escalation) için de kullanılabileceğini belirtti. Ancak en yüksek etki, misafir VM'den ana sisteme geçiş senaryosu.
Uzmanların Görüşleri
Januscape, Kim'in iki ay içinde duyurduğu üçüncü Linux çekirdeği güvenlik açığı. Mayıs 2026'da Dirty Frag (CVE-2026-43284/CVE-2026-43500) ile sayfa önbelleği yazma zafiyetini, Haziran'da ise ITScape (CVE-2026-46316) ile KVM/arm64 üzerinde ilk misafir-ana sistem kaçışını gösterdi. Google, kvmCTF'yi 2024'te başlattı çünkü KVM, hem Android hem de Google Cloud'un temelini oluşturuyor. Aynı kod yolunda Mayıs 2026'da başka bir shadow MMU use-after-free açığı (CVE-2026-46113) daha düzeltildi.
Düzeltme, kvm_mmu_get_child_sp() fonksiyonuna tek satırlık bir ekleme ile yapıldı: yeniden kullanım koşulu artık gfn ile birlikte role.word'ü de kontrol ediyor. Yama, KVM bakımcısı Paolo Bonzini tarafından yazıldı. Kararlı sürümlere 4 Temmuz 2026'da dağıtıldı: 7.1.3, 6.18.38, 6.12.95, 6.6.144, 6.1.177, 5.15.211 ve 5.10.260. Dağıtımların yamayı kendi takvimlerine göre geriye taşıması bekleniyor. Örneğin Debian, testing/trixie ve unstable/sid için düzeltme yayınlarken, stable (bookworm) ve oldstable (bullseye) için henüz yama yayınlanmadı.
Teknik Analiz
Sistem yöneticileri için acil eylem: Eğer çok kiracılı x86 KVM sunucusu işletiyorsanız ve iç içe sanallaştırma etkinse, çekirdeğinizin 81ccda30b4e8 commit'ini içerdiğini doğrulayın. Hemen yama yapamıyorsanız, iç içe sanallaştırmayı devre dışı bırakmak (kvm_intel.nested=0 veya kvm_amd.nested=0) güvenilmeyen misafirler için saldırı yolunu kapatır. ARM64 sistemler bu açıktan etkilenmez. Kamuya açık PoC, bir misafir VM'den yüklenebilir çekirdek modülü ile saniyeler içinde ana sistemi çökertebiliyor. Bu nedenle, etkilenen sistemler yüksek öncelikli yama hedefi olarak değerlendirilmelidir.
Kaynak: thehackernews.com
