Les équipes de sécurité d'Ubuntu ont diffusé des mesures d'atténuation pour la vulnérabilité Januscape (CVE-2026-53359), une faille d'élévation de privilèges locaux dans le noyau Linux affectant le système de virtualisation KVM. L'éditeur indique que la correction est en attente pour toutes les versions d'Ubuntu, de Trusty (14.04) à Resolute (26.04), et qu'en attendant, la désactivation de la virtualisation imbriquée constitue la parade principale.

Un risque ancien et profond

Révélée publiquement le 6 juillet 2026, cette vulnérabilité réside dans le mécanisme de virtualisation imbriquée de KVM sur les processeurs x86_64 d'Intel et d'AMD. Elle permet à un utilisateur disposant des droits root dans une machine invitée de compromettre l'hôte hyperviseur, voire de s'échapper vers d'autres machines virtuelles. Un code de démonstration (Proof of Concept) a été rendu public, démontrant la capacité à faire planter l'hôte depuis une VM. Selon Ubuntu, plusieurs sources rapportent qu'un exploit complet existe déjà.

La note CVSS n'a pas encore été publiée officiellement par le NVD ni par kernel.org. Ubuntu a calculé un score de 8,4 sur l'échelle CVSS v4, tandis que d'autres publications font état de scores allant de 7,8 à 9,3 selon les versions utilisées.

Qui est concerné ?

Ubuntu précise que toutes les architectures autres que x86_64 ne sont pas impactées. La faille ne peut être exploitée que si la virtualisation imbriquée (nested virtualization) est activée sur l'hôte. Les utilisateurs de services cloud dont l'hyperviseur repose sur KVM Linux avec processeurs Intel ou AMD, et qui autorisent la virtualisation imbriquée, pourraient voir leur machine compromise par un autre locataire. En revanche, si le fournisseur cloud désactive cette fonction, le risque est nul.

Pour les administrateurs gérant leurs propres hyperviseurs, la surface d'attaque provient des utilisateurs root présents dans les machines invitées.

Comment vérifier son exposition

Ubuntu fournit une commande simple pour déterminer si le système est vulnérable :

grep . /sys/module/kvm_{amd,intel}/parameters/nested

Un résultat affichant '1' ou 'Y' signifie que la virtualisation imbriquée est active et que le système est exposé. '0' ou 'N' indique une atténuation. Deux messages « No such file or directory » ne signifient pas forcément que le système est sûr : le module peut être chargé ultérieurement.

Recommandations et impact sur les déploiements

Sans charges de travail de virtualisation : même si aucune machine virtuelle n'est exécutée actuellement, des services comme libvirt, LXD, Multipass ou Incus peuvent permettre aux utilisateurs d'en créer. Un attaquant pourrait utiliser ces services pour lancer une VM et exploiter la faille afin d'élever ses privilèges localement. Ubuntu conseille de vérifier les permissions du périphérique /dev/kvm (avec les commandes 'namei -l' et 'getfacl') et de s'assurer que seuls les utilisateurs privilégiés (root ou membres du groupe kvm) peuvent y écrire.

Avec des charges de travail conteneurisées : les conteneurs non privilégiés ne disposent pas des permissions nécessaires pour démarrer des VM accélérées par KVM et ne sont donc pas un vecteur de risque. En revanche, les conteneurs privilégiés peuvent avoir ces droits et doivent être traités avec la même prudence que les déploiements sans virtualisation.

Avec des charges de travail virtualisées : tout processus ou utilisateur disposant d'un accès root à une machine virtuelle peut potentiellement exploiter la faille pour compromettre l'hôte. Ubuntu recommande de désactiver la virtualisation imbriquée si elle n'est pas indispensable, en pesant les avantages et les inconvénients. Les paquets du noyau Linux intégrant le correctif seront publiés prochainement.

Procédure de désactivation

Pour désactiver temporairement la virtualisation imbriquée, Ubuntu suggère de modifier les paramètres du module KVM. Sur les systèmes Intel, exécuter :

echo 0 | sudo tee /sys/module/kvm_intel/parameters/nested

Sur les systèmes AMD :

echo 0 | sudo tee /sys/module/kvm_amd/parameters/nested

Ces modifications sont immédiates mais ne persistent pas après un redémarrage. Pour une désactivation permanente, il est conseillé d'ajouter l'option 'nested=0' aux modules kvm_intel ou kvm_amd dans le fichier de configuration des modules (par exemple /etc/modprobe.d/).

Ubuntu insiste sur le fait que cette vulnérabilité, vieille de seize ans, est particulièrement dangereuse dans les environnements multi-locataires où la virtualisation imbriquée est activée par défaut. Les administrateurs sont invités à appliquer les correctifs dès leur disponibilité.