Linux-Kernel: 16 Jahre alte KVM-Lücke ermöglicht VM-Ausbruch
Ein Sicherheitsforscher namens Hyunwoo Kim, der sich online auch V4bel nennt, hat eine Sicherheitslücke in der Kernel-based Virtual Machine (KVM) des Linux-Kernels aufgedeckt. Wie der Forscher auf Github schildert(öffnet im neuen Fenster), können Angreifer damit aus virtuellen Maschinen ausbrechen und sich einen Zugriff auf das jeweilige Hostsystem verschaffen. Als anfällig gelten Intel- und AMD-basierte Systeme, nicht jedoch solche auf Basis von Arm64.
Die besagte Sicherheitslücke ist als CVE-2026-53359(öffnet im neuen Fenster) registriert und wird auch als Januscape bezeichnet. Ursache ist laut Kim ein Use-after-free-Bug in der für die Übersetzung von Speicheradressen zuständigen Shadow-MMU von KVM/x86(öffnet im neuen Fenster). Ein Angreifer benötigt zur Ausnutzung der Lücke lediglich Root-Zugriff auf ein beliebiges Gastsystem.
Angreifer können Hostsysteme kapern
"Der Fehler kann allein durch gästeseitige Aktionen ausgelöst werden, wodurch die Shadow-Page des Host-Kernels beschädigt wird", erklärt Kim. Dadurch werde die Gast-Host-Isolation von KVM beeinträchtigt. Gefährdet seien unter anderem Cloudsysteme wie jene von Google oder AWS, bei denen VMs und Dienste mehrerer Kunden auf der gleichen Hardware laufen.
"Ein Angreifer, der beispielsweise nur eine einzige Instanz in einer öffentlichen Cloud gemietet hat, könnte den Host-Kernel in einen Fehlerzustand versetzen, um alle anderen Gast-VMs auf derselben physischen Maschine lahmzulegen oder Code mit Root-Rechten auf dem Host ausführen, um die Kontrolle über den Host und alle darauf befindlichen Gäste zu übernehmen", heißt es auf Github.
Vollständiger Exploit vorerst geheim
Kim veröffentlichte auch einen Exploit für Januscape. Dieser nutzt allerdings nicht das volle Potenzial der Lücke aus. Er führt lediglich zu einem Fehler auf dem Hostsystem. Ein Exploit für einen vollständigen VM-Ausbruch soll dem Forscher zwar ebenfalls vorliegen, diesen hält er aber aus Sicherheitsgründen noch zurück. Er soll erst "in sehr ferner Zukunft" veröffentlicht werden.
Dank der zunehmend populären Schwachstellenforschung mittels KI ist jedoch nicht auszuschließen, dass andere Akteure ebenfalls an einen vollständigen Exploit gelangen und Kim mit der Veröffentlichung zuvorkommen. Dabei dürften auch die technischen Details helfen, die Kim in einem separaten Bericht auf Github(öffnet im neuen Fenster) veröffentlichte.
Eingeführt wurde CVE-2026-53359 mit einem Commit von 2010(öffnet im neuen Fenster). Ein Patch wurde am 16. Juni 2026 in den Kernel aufgenommen(öffnet im neuen Fenster). Damit war die Lücke etwa 16 Jahre im Code des Linux-Kernels präsent. Für viele Versionen gängiger Linux-Distributionen wie Debian(öffnet im neuen Fenster), Ubuntu(öffnet im neuen Fenster), Suse(öffnet im neuen Fenster) und Red Hat(öffnet im neuen Fenster) scheint der Patch bisher noch nicht verfügbar zu sein, wie die Sicherheitsmeldungen der jeweiligen Anbieter zeigen. Teilweise scheint nicht einmal abschließend geklärt zu sein, welche Versionen überhaupt anfällig sind.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.