Elle dormait depuis 16 ans dans le cœur de la virtualisation Linux : on vous explique, pas à pas, la faille « Januscape »

En juillet 2026, le chercheur en cybersécurité Hyunwoo Kim, connu sous le pseudo @v4bel, a découvert une faille majeure dans le noyau Linux nommée Januscape (référencée CVE-2026-53359).

Cette vulnérabilité existait depuis août 2010, soit 16 ans, sans avoir été exploitée ni même détectée.

Elle permet à une machine virtuelle (VM) louée sur un service cloud de compromettre le serveur physique qui l’héberge.

Januscape a été identifiée lors d’un concours organisé par Google, le kvmCTF, où les participants tentent de s’échapper d’une VM pour atteindre la machine hôte.

Cette faille est particulièrement critique car elle touche l’hyperviseur KVM, un logiciel essentiel pour la virtualisation sur les serveurs Linux équipés de processeurs Intel ou AMD.

Une machine virtuelle (VM) est un ordinateur simulé qui fonctionne à l’intérieur d’un serveur physique réel.

Les géants du cloud comme Amazon (AWS) ou Google Cloud divisent leurs serveurs en plusieurs VM indépendantes, louées à différents clients.

Chaque VM agit comme un ordinateur autonome, avec son propre système d’exploitation et ses droits d’administrateur, alors qu’en réalité, elles partagent la même machine physique.

Un hyperviseur comme KVM (Kernel-based Virtual Machine) fait tourner ces VM et les isole les unes des autres.

Théoriquement, une VM ne peut pas affecter une autre VM ou le serveur hôte.

Cependant, Januscape permet de contourner cette isolation, ce qui en fait une faille extrêmement dangereuse.

Pour comprendre Januscape, il faut saisir comment KVM gère la mémoire entre les VM et le serveur physique.

Une VM ne voit pas directement la mémoire physique : elle utilise ses propres repères internes, et KVM fait le lien entre ces repères et la mémoire réelle.

Pour gagner du temps, KVM réutilise des blocs de mémoire déjà utilisés, en se basant uniquement sur leur adresse.

Cependant, Januscape exploite une erreur dans ce processus : KVM ne vérifie pas si le bloc de mémoire est encore utilisé pour son ancien usage avant de le réattribuer.

Résultat, les repères de KVM deviennent faux, et ses liens entre les blocs de mémoire et leurs adresses se brouillent.

Cela peut entraîner une corruption de la mémoire et, dans certains cas, permettre à une VM de compromettre le serveur hôte.

Le chercheur Hyunwoo Kim a identifié deux scénarios d’exploitation de Januscape.

Dans le premier, le système d’exploitation détecte l’incohérence et arrête tout immédiatement, ce qui fait planter la machine physique et toutes les VM qui y tournent, y compris celles d’autres clients.

Dans le second scénario, plus dangereux, si un bloc de mémoire est réattribué avant que le système n’ait fini de nettoyer son ancien contenu, des données peuvent être écrites au mauvais endroit.

Bien que l’attaquant ne puisse pas choisir précisément ce qui est écrit, il peut influencer l’emplacement de cette écriture erronée.

Cela permet progressivement d’élever ses privilèges et, à terme, de prendre le contrôle total de la machine physique avec les droits root (administrateur système).

Kim possède un exploit complet pour ce scénario, mais il ne l’a pas rendu public pour éviter une exploitation malveillante avant que les correctifs ne soient déployés.

Pour qu’une attaque via Januscape soit possible, deux conditions doivent être réunies.

D’abord, l’attaquant doit disposer des droits root à l’intérieur de la VM visée, ce qui est souvent le cas par défaut pour les VM louées dans le cloud.

Ensuite, la machine physique hébergeant la VM doit avoir activé la virtualisation imbriquée, une fonctionnalité permettant de faire tourner une VM à l’intérieur d’une autre VM.

Cette fonctionnalité est surtout utilisée dans des cas spécifiques, comme quand un client cloud a besoin de créer ses propres VM à l’intérieur de la VM qu’il loue.

Les environnements les plus exposés sont les clouds multi-tenant, où plusieurs clients partagent les mêmes machines physiques, comme AWS ou Google Cloud.

Le correctif pour Januscape a été intégré au noyau Linux principal le 16 juin 2026, puis diffusé dans plusieurs versions stables de Linux début juillet 2026.

Les administrateurs système sont encouragés à mettre à jour leurs serveurs dès que possible pour se protéger contre cette faille.

Les entreprises utilisant des services cloud doivent vérifier si leurs environnements sont exposés, notamment s’ils utilisent la virtualisation imbriquée.

Bien que Januscape soit une faille grave, sa correction rapide limite les risques d’exploitation malveillante.

Hyunwoo Kim a été récompensé par Google à hauteur de 250 000 $ pour sa découverte, soulignant l’importance de cette vulnérabilité.