Seize ans qu’elle dormait dans le noyau Linux, et personne ne l’avait vue. Baptisée Januscape, une vulnérabilité tout juste dévoilée permet à un attaquant de s’échapper d’une machine virtuelle pour exécuter du code arbitraire sur la machine hôte. Autrement dit, le cauchemar de quiconque isole ses charges de travail derrière un hyperviseur.
Points clés
- Januscape est une vulnérabilité du noyau Linux vieille de 16 ans permettant une évasion de machine virtuelle
- Un attaquant peut exécuter du code arbitraire sur la machine hôte depuis une VM compromise
- La faille affecte aussi bien les plateformes Intel qu’AMD
Le mur entre invité et hôte qui se fissure
Le principe d’une machine virtuelle repose sur un cloisonnement strict : ce qui tourne dans l’invité reste dans l’invité. C’est précisément cette frontière que contourne Januscape. En exploitant la faille, un attaquant qui a déjà pris pied dans une VM peut franchir la barrière et prendre la main sur le système hôte, avec exécution de code arbitraire à la clé.
La faille loge dans le noyau Linux et concerne aussi bien les plateformes Intel que les processeurs AMD. Son âge (seize ans) en dit long sur la difficulté à débusquer certaines vulnérabilités enfouies au cœur du code le plus scruté de la planète.
Pourquoi ça compte pour les homelabbers et les hébergeurs
Une évasion de VM, c’est le genre de faille qui fait transpirer tout opérateur mutualisant des invités sur un même hôte : fournisseurs de cloud, hébergeurs et amateurs d’auto-hébergement qui empilent leurs services derrière un hyperviseur. Le cloisonnement était censé garantir qu’un invité compromis ne contamine pas ses voisins ni la machine physique. Januscape rappelle que ce contrat n’a rien d’inviolable.
En attendant les correctifs déployés dans le noyau, la règle habituelle s’applique : mettre à jour dès que les patchs sont disponibles et surveiller de près les invités exposés.
