Am 6. Juli 2026 wurde eine lokale Kernel\u2011Schwachstelle mit der Kennung CVE\u20112026\u201153359 \u00f6ffentlich bekannt, die unter dem Namen \u00abJanuscape\u00bb diskutiert wird. Die L\u00fccke betrifft KVM\u2011Nested\u2011Virtualisierung auf x86_64\u2011Systemen mit Intel\u2011 oder AMD\u2011Prozessoren und erm\u00f6glicht potenziell eine lokale Eskalation von Rechten im Hypervisor\u2011Kontext. Hersteller und Distributionen werden Kernel\u2011Updates bereitstellen; bis dahin existieren praktikable Konfigurations\u2011Workarounds, die Systembetreiber umgehend pr\u00fcfen sollten.<\/p>\n
Januscape ist eine lokale Privilegieneskalation (LPE) im Linux\u2011Kernel, konkret im Bereich der geschachtelten Virtualisierung (nested virtualization) f\u00fcr KVM. Exploit\u2011Beispiele, darunter ein Proof\u2011of\u2011Concept, wurden ver\u00f6ffentlicht: Sie zeigen, dass ein Gastsystem einen Host zum Absturz bringen kann; einige Quellen berichten auch \u00fcber funktionierende Full\u2011Exploits.<\/p>\n
Nur x86_64\u2011Systeme mit Intel\u2011 oder AMD\u2011Implementierungen von KVM sind betroffen. Andere Architekturen gelten derzeit als nicht betroffen. Ubuntu\u2011Meldungen sprechen davon, dass alle Ubuntu\u2011Releases von dieser Schwachstelle ber\u00fchrt werden.<\/p>\n
Bewertungen der Schwere variieren: Ubuntu errechnete einen CVSS\u2011Wert von 8.4 (CVSS v4), es sind aber auch andere Bewertungen ver\u00f6ffentlicht worden (z. B. 7.8, 8.8 und 9.3 in unterschiedlichen CVSS\u2011Versionen).<\/p>\n
Das gr\u00f6\u00dfte Risiko besteht f\u00fcr Systeme, die als Hypervisor fungieren und Nested\u2011Virtualization erlauben \u2014 also Hosts, auf denen G\u00e4ste wiederum selbst virtuelle Maschinen starten k\u00f6nnen. Das umfasst:<\/p>\n
Wenn ein Cloud\u2011Anbieter Nested\u2011Virtualisierung nicht erlaubt, ist der Kunde von diesem speziellen Problem nicht betroffen. L\u00e4uft die Virtualisierung dagegen, kann ein b\u00f6sartiger Tenant unter Umst\u00e4nden die VM oder sogar den Host kompromittieren.<\/p>\n
Die L\u00fccke l\u00e4sst sich prim\u00e4r aus Kontexten ausnutzen, in denen ein Prozess innerhalb einer VM Kernelmodule laden oder ein neues Kernel\u2011Image bereitstellen kann \u2013 also alle F\u00e4lle, in denen Manipulationen an Seitentabellen m\u00f6glich sind. Praktische Angriffsvektoren sind daher:<\/p>\n
Unprivilegierte Container hingegen haben in der Regel nicht die n\u00f6tigen Rechte, um KVM\u2011beschleunigte VMs zu starten und gelten somit nicht als direkter Angriffsvektor.<\/p>\n
Auf einem Ubuntu\u2011 oder anderen Linux\u2011System l\u00e4sst sich der Status der verschachtelten Virtualisierung per sysfs pr\u00fcfen. Die folgenden Befehle helfen, die betroffenen KVM\u2011Module zu untersuchen:<\/p>\n
grep . \/sys\/module\/kvm_{amd,intel}\/parameters\/nested<\/code><\/pre>\nAusgabehinweise:<\/p>\n
\n- Ein Wert \u00ab1\u00bb oder \u00abY\u00bb signalisiert, dass Nested\u2011Virtualization aktiv und damit potenziell verwundbar ist.<\/li>\n
- Ein Wert \u00ab0\u00bb oder \u00abN\u00bb bedeutet, dass Nested\u2011Virtualization bereits deaktiviert ist und damit als mitigiert gelten kann.<\/li>\n
- Fehlermeldungen \u00abNo such file or directory\u00bb k\u00f6nnen auftauchen, weil ein Modul derzeit nicht geladen ist. Solche Meldungen allein garantieren jedoch nicht, dass das System sicher ist \u2014 das Modul k\u00f6nnte sp\u00e4ter geladen werden.<\/li>\n<\/ul>\n
Pr\u00fcfen Sie zudem die Zugriffsrechte auf das Device\u2011Node \/dev\/kvm, da Schreibrechte auf dieses Device f\u00fcr die Ausnutzung relevant sein k\u00f6nnen:<\/p>\n
namei -l \/dev\/kvm\ngetfacl \/dev\/kvm<\/code><\/pre>\nAuf Ubuntu ist \/dev\/kvm standardm\u00e4\u00dfig f\u00fcr root und die Gruppe \u00abkvm\u00bb schreibbar. Stellen Sie sicher, dass nur vertrauensw\u00fcrdige Nutzer der Gruppe \u00abkvm\u00bb hinzugef\u00fcgt werden.<\/p>\n
Vorl\u00e4ufige Gegenma\u00dfnahmen: Nested\u2011Virtualization deaktivieren<\/h2>\n
Solange noch kein Kernel\u2011Patch eingespielt wurde, l\u00e4sst sich die Angriffsfl\u00e4che deutlich reduzieren, indem Sie die Unterst\u00fctzung f\u00fcr verschachtelte Virtualisierung abschalten. Die folgende Reihenfolge ist als Arbeitsanweisung gedacht:<\/p>\n
\n- Alle laufenden KVM\u2011VMs stoppen.<\/li>\n
- Die KVM\u2011Module gefahrlos entladen:<\/li>\n<\/ol>\n
sudo rmmod kvm_amd ; sudo rmmod kvm_intel<\/code><\/pre>\nHinweis: Falls eins der Module nicht geladen ist, meldet rmmod einen Fehler, das ist unproblematisch.<\/p>\n
\n- Nach Konfigurationsdateien suchen, die Nested\u2011Support aktivieren k\u00f6nnten:<\/li>\n<\/ol>\n
grep nested \/etc\/modprobe.d\/*<\/code><\/pre>\n\n- Nested\u2011Virtualization f\u00fcr beide Implementierungen deaktivieren, indem entsprechende Optionen in \/etc\/modprobe.d gesetzt werden:<\/li>\n<\/ol>\n
echo 'options kvm_amd nested=0' | sudo tee \/etc\/modprobe.d\/nested.conf\necho 'options kvm_intel nested=0' | sudo tee -a \/etc\/modprobe.d\/nested.conf<\/code><\/pre>\n\n- Module bei Bedarf neu laden:<\/li>\n<\/ol>\n
sudo modprobe kvm_amd ; sudo modprobe kvm_intel<\/code><\/pre>\nNach diesen Schritten sollte das Pr\u00fcfen der oben genannten sysfs\u2011Eintr\u00e4ge einen deaktivierten Zustand anzeigen.<\/p>\n
Besondere Hinweise f\u00fcr Cloud\u2011 und Container\u2011Betreiber<\/h2>\n
Cloud\u2011Kunden sollten kl\u00e4ren, ob ihr Provider KVM als Hypervisor einsetzt und ob Nested\u2011Virtualization f\u00fcr Instanzen erlaubt ist. Wenn Nested\u2011Virtualization verf\u00fcgbar ist, besteht das Risiko, dass ein anderer Mieter einen Exploit nutzt, um angrenzende Instanzen oder den Host zu beeintr\u00e4chtigen.<\/p>\n
Bei Container\u2011Workloads gilt: Unprivilegierte Container sind in der Regel unkritisch; privilegierte Container k\u00f6nnen jedoch die gleichen Risiken wie virtuelle Maschinen er\u00f6ffnen und sollten deshalb wie virtuelle Umgebungen bewertet werden.<\/p>\n
Patchstatus und Empfehlung<\/h2>\n
Ubuntu k\u00fcndigt Kernel\u2011Pakete an, die die vorgeschlagene Fehlerbehebung implementieren werden. Installieren Sie diese Updates, sobald sie verf\u00fcgbar sind \u2014 f\u00fcr Hypervisor\u2011Hosts hat der Kernel\u2011Fix Priorit\u00e4t. Bis dahin ist das Abschalten von Nested\u2011Virtualization die praktikabelste Sofortma\u00dfnahme. Bedenken Sie, dass diese Ma\u00dfnahme legitime Arbeitsabl\u00e4ufe beeintr\u00e4chtigen kann, wenn Sie selbst oder Nutzer bewusst verschachtelte Virtualisierung ben\u00f6tigen; w\u00e4gen Sie Risiko gegen Betriebsanforderungen ab.<\/p>\n
Fazit<\/h2>\n
CVE\u20112026\u201153359 (Januscape) ist eine ernst zu nehmende lokale Schwachstelle im Bereich von KVM\u2011Nested\u2011Virtualisierung auf Intel\/AMD x86_64\u2011Plattformen. Betreiber von Hypervisoren und Cloud\u2011Infrastrukturen sollten umgehend pr\u00fcfen, ob Nested\u2011Virtualization aktiv ist, die Zugriffsrechte auf \/dev\/kvm kontrollieren und vorl\u00e4ufig Nested\u2011Virtualization deaktivieren, bis die Kernel\u2011Patches verteilt und installiert wurden. F\u00fcr Systemadministratoren gilt derzeit: schnell pr\u00fcfen, sinnvoll mitigieren, Updates einspielen.<\/p>\n
Technischer Hinweis: Die urspr\u00fcngliche Analyse und ein technischer Write\u2011up stammen vom Exploit\u2011Autor Hyunwoo Kim. Distributionen und Betroffene arbeiten an entsprechenden Kernel\u2011Releases.<\/em><\/p>\n