Перейти к основному содержимому

SEC-GORIZONT-VS-26-07-08-04

Информация

Продукт: Программный комплекс «Горизонт-ВС»

Компонент: kernel (KVM, KVM/x86, Shadow MMU)

CVE: CVE-2026-53359

БДУ: BDU:2026-09298

Уровень критичности: высокий

Пакет обновления: отсутствует

ВНИМАНИЕ!

Для устранения угрозы эксплуатации уязвимости CVE-2026-53359 рекомендуется отключить функцию вложенной аппаратной виртуализации (nested virtualization) в гипервизоре KVM.

В этом случае будет невозможен запуск вложенных гипервизоров в гостевых операционных системах.

Описание​

CVE-2026-53359 - критическая уязвимость в ядре Linux, позволяющая локальному пользователю повысить свои привилегии до уровня root и осуществить побег из изолированного окружения виртуальной машины.

Уязвимость функции rmap_remove() подсистемы виртуализации Kernel-based Virtual Machine (KVM) ядра операционной системы Linux связана с использованием памяти после ее освобождения в результате разыменования указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код.

Затронутые технологии​

KVM, KVM/x86, Shadow MMU

Команды проверки уязвимости​

Для серверов на базе Intel:

cat /sys/module/kvm_intel/parameters/ept

Для систем на базе процессоров AMD:

cat /sys/module/kvm_amd/parameters/npt

В случае если вывод Y - Вероятность успешной эксплуатации уязвимости из гостевой ОС минимальна. В случае если вывод N - система находится под угрозой.

Наличие поддержки вложенной виртуализации расширяет вектор атаки. Проверка статуса вложенной виртуализации. Для систем на базе процессоров Intel:

cat /sys/module/kvm_intel/parameters/nested

Для система на базе процессоров AMD:

cat /sys/module/kvm_amd/parameters/nested

В случае если вывод равен Y, 1 или 0x1, уровень критичности повышается.

Меры по устранению (компенсирующие)​
  1. Остановите все запущенные виртуальные машины.
  2. Выгрузите модули KVM из памяти хоста:

Для систем на базе процессоров Intel:

rmmod kvm_intel kvm

Для систем на базе процессоров AMD:

rmmod kvm_amd kvm
  1. Загрузите модули заново, с флагами принудительного отключения вложенной виртуализации и включения EPT/NPT защиты:

Для систем на базе процессоров Intel:

modprobe kvm_intel ept=1 nested=0

Для систем на базе процессоров AMD:

modprobe kvm_amd npt=1 nested=0