UCloud-202607-002:Linux Kernel KVM/x86 shadow paging UAF 漏洞

Linux 内核是一款开源的类 UNIX 操作系统内核，作为 Linux 系统的核心组件，负责管理系统硬件资源、进程调度、内存管理、文件系统与网络通信等核心功能，为各类应用程序提供底层支撑与系统调用接口。其广泛应用于服务器、桌面终端、移动设备、嵌入式系统与云计算环境，是全球主流 IT 基础设施的核心运行载体。其中 KVM（Kernel-based Virtual Machine）是 Linux 内核内置的 x86 虚拟化方案，由 Intel VMX 与 AMD SVM 共同支撑，被公有云、私有云及大量基于 OpenStack 的虚拟化平台广泛使用，shadow paging 则是 KVM/x86 在硬件辅助分页之外的二级页表翻译机制。

 

2026 年 7 月，UCloud 安全中心监测到官方修复 Linux Kernel KVM/x86 shadow paging UAF 漏洞（CVE-2026-53359，研究者代号 "Janusscape"）。

 

经分析，漏洞源于 arch/x86/kvm/mmu/mmu.c 中的 kvm_mmu_get_child_sp() 在角色（role）比较上存在缺陷：当外部把 PDE 映射修改为指向非叶子页时，函数未做 role 比对便直接复用了既有的 shadow page，将一个为 2MB 直接映射（direct=1）分配的页面用于新的 4KB 非直接映射（direct=0），进而使 kvm_mmu_page_get_gfn() 计算出错误的 GFN（sp->gfn + index，而非 sp->shadowed_translation[]）。错误 GFN 上的 rmap 条目在 memslot 删除后仍然存活，后续 dirty logging、MMU notifier invalidation 等流程遍历该 GFN 时会解引用已释放内存，触发 use-after-free。

 

漏洞类型 CWE-416（Use After Free），攻击者可在 guest 内部触发，成功利用后可造成宿主机内核内存破坏：在多租户 KVM 场景下构成 guest→host 逃逸，突破虚拟化隔离；在 /dev/kvm 权限宽松的发行版上，本地普通用户可借此将权限提升至 root。研究者 Hyunwoo Kim 在 2026 年 7 月 6 日的 OpenWall 公开披露中同步释放了可在 Intel VMX/EPT（默认）与 AMD SVM/NPT（amd=1）两条路径稳定触发宿主机崩溃的 PoC 内核模块，并声明存在未公开的 RCE 利用路径；披露还提到该漏洞曾作为 0-day 出现在 Google kvmCTF 中。

 

截至公告发布，NVD 暂未给出 CVSS v2 / v3.x / v4.0 评分；CISA-ADP 配套 SSVC 评估为 exploitation=poc, automatable=no, technical_impact=total。鉴于该漏洞可被用于 guest→host 逃逸，建议宿主侧用户尽快做好自查与防护。

请尽快将宿主机 Linux 内核升级至上述对应 stable 分支的修复版本，升级完成后重启系统以确保补丁生效。上游 fix commit 为：

 

1ae7d5a6db6c190ce183e3098ca0e0846e14d462

81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb

2ad3afa40ac6aa340dada122f9abfa46c0a6eb35

5e470998a23e4c3d89ed24e8172cb22747e61efa

9291654d69e08542de37755cebe4d5b02c3170d1

b1337aae5e194324e4810d561764e7793f8b3864

 

各发行版的修复进度与具体包版本可关注以下来源：

 

NVD：https://nvd.nist.gov/vuln/detail/cve-2026-53359

OpenWall oss-security：http://www.openwall.com/lists/oss-security/2026/07/06/7

上游补丁（stable/6.1）：https://git.kernel.org/stable/c/1ae7d5a6db6c190ce183e3098ca0e0846e14d462

上游补丁（stable/6.6）：https://git.kernel.org/stable/c/81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb

上游补丁（stable/6.12）：https://git.kernel.org/stable/c/2ad3afa40ac6aa340dada122f9abfa46c0a6eb35

上游补丁（stable/6.18）：https://git.kernel.org/stable/c/5e470998a23e4c3d89ed24e8172cb22747e61efa

上游补丁（stable/7.1）：https://git.kernel.org/stable/c/9291654d69e08542de37755cebe4d5b02c3170d1

上游补丁（mainline）：https://git.kernel.org/stable/c/b1337aae5e194324e4810d561764e7793f8b3864


临时缓解措施