У гіпервізорі KVM для Linux виявлено критичну вразливість використання пам’яті після звільнення, яка існувала близько 16 років. Дефект отримав назву Januscape і міститься в загальному коді тіньового керування пам’яттю для процесорів Intel та AMD x86. Помилка дозволяє зловмиснику з правами root всередині віртуальної машини пошкодити пам’ять ядра хоста і вийти за межі ізольованого середовища.

Причина кроїться в тому, що KVM повторно використовував сторінки відстеження пам’яті за адресою, ігноруючи їхній тип. Демонстраційний код викликає повну зупинку хост-сервера, що вимикає всі інші віртуальні машини на ньому. Дослідник Хьонву Кім знайшов баг у межах програми Bug Bounty kvmCTF від Google. Проблема зачіпає хмарні сервери з увімкненою вкладеною віртуалізацією та присутня в ядрі Linux з версії 2.6.36.