Vue normale

Il y a de nouveaux articles disponibles, cliquez pour rafraîchir la page.
À partir d’avant-hierKorben

Januscape - La faille KVM qui dormait depuis 16 ans dans le cloud

Par : Korben ✨
7 juillet 2026 à 11:55

Depuis 16 ans, il y a une énorme faille qui fait dodo dans le coeur de tout ce qui gère la virtualisation sous Linux et personne ne l'avait remarqué, jusqu'à ce que Hyunwoo Kim, un chercheur en sécurité connu sous le pseudo @v4bel débarque. Ce dernier vient de dénicher un use-after-free dans le shadow MMU de KVM, ce bout de code que KVM partage entre les processeurs Intel et AMD. Il a baptisé sa trouvaille Januscape (CVE-2026-53359), et croyez-moi, le scénario a de quoi filer des sueurs froides à n'importe quel hébergeur...

En pratique, quand vous louez une VM dans le cloud, vous y êtes root (normal, c'est votre instance). Mais si l'hôte autorise la virtualisation imbriquée, hé bien la faille vous ouvre en grand la porte vers la machine physique. Le code de démonstration que Kim a publié se contente de faire planter l'hôte, et il garde sous le coude un second exploit, non divulgué publiquement celui-là, qui transforme le même bug en exécution de code root sur l'hôte. Et il n'a pas trouvé tout ça par hasard, puisqu'il participait au kvmCTF de Google, un programme qui paie jusqu'à 250 000 dollars pour une évasion complète d'une VM vers son hôte...

À ce stade, l'isolation censée séparer les locataires d'un même serveur vole en éclats, les VM de vos voisins de palier comprises.

Le code fautif traîne depuis août 2010, du temps du noyau 2.6.36 et Kim présente d'ailleurs Januscape comme la première évasion d'une VM vers son hôte qui fonctionne aussi bien sur Intel que sur AMD, à sa connaissance en tout cas.

Maintenant, avant de couper le wifi et de partir élever des chèvres dans le Larzac, deux petites nuances quand même car l'attaque réclame deux conditions réunies : être root dans la VM invitée, et que l'hôte expose la virtualisation imbriquée. Pas mal d'hébergeurs ne l'activent pas, donc c'est pas non plus une apocalypse universelle. Par contre, pour ceux qui l'activent, c'est game over.

Mais bonne nouvelle, le correctif est déjà là donc si vous administrez des serveurs KVM, mettez à jour maintenant. Et si vous ne pouvez pas patcher tout de suite, la parade consiste à désactiver la virtualisation imbriquée en attendant, avec kvm_intel.nested=0 sur de l'Intel ou kvm_amd.nested=0 sur de l'AMD.

VENOM s'échappait déjà d'une VM en 2015 via un vieux driver de disquette, et plus récemment une faille kernel planquée neuf ans offrait un accès root sur une machine Linux. Ces "fantômes" dorment longtemps dans le noyau, et ils choisissent toujours le pire moment pour se réveiller. Voilà, comme d'autres failles Linux à patcher d'urgence , celle-ci mérite tout de suite votre attention.

Source

NanoKVM-Go - Le KVM USB-C qui garde vos écrans en mémoire

Par : Korben ✨
2 juillet 2026 à 11:53

La société Sipeed vient d'annoncer la sortie d'un nouveau KVM USB-C qui je pense va vous intéresser. Il s'appelle le NanoKVM-GO, il fait la taille d'une grosse boite d'allumettes et permet de prendre le contrôle de n'importe quel appareil capable de cracher de la vidéo via son port USB-C.

Donc y'a juste besoin d'un câble, et pi c'est tout. Que ce soit un iPhone 15 ou supérieur, un MacBook, un Steam Deck, un mini PC Windows, un smartphone Android, no problemo, le boîtier s'intercale entre vous et la machine, capture l'écran en 4K, simule le clavier et la souris, et vous laisse piloter le tout depuis un simple navigateur, où que vous soyez.

Il existe également une version Go+ de la bestiole qui embarque ce que Sipeed appelle sobrement une "Ambient Screen Intelligence", comprenez une fonction à la Microsoft Recall où le boîtier photographie votre écran en continu, conserve jusqu'à 180 jours de captures en local, et vous laisse fouiller tout ça à la recherche textuelle. Bref, ce que Redmond avait proposé et qui avait fait hurler tout le monde, bah là c'est pareil mais en version hardware.

Donc comme je vous le disais, y'a plus qu'un seul câble USB-C vers la cible (DP Alt Mode pour la vidéo, HID pour le clavier et la souris, disque virtuel pour booter des ISO), et l'hôte se connecte au boîtier en WiFi. La latence annoncée est de 60 ms en 1080p, jusqu'à 100 ms en 4K. Le boîtier tire son jus du port USB-C de la cible (5 V), avec un second port pour la charge passthrough et le contrôle de petits FingerBot.

Ça permet ainsi de régler 2 des plus gros problèmes des outils de prise de contrôle à distance comme TeamViewer ou VNC :

  1. L'accès au BIOS qu'aucun logiciel ne peut jamais atteindre
  2. Le freeze de l'app ou de l'OS qui rend inopérant un TeamViewer par exemple

Avec un boitier KVM, vous rebootez comme vous voulez et vous avez toujours la main. En tout cas, je suis content de voir que l'usine à câble d'il y a 10 ans devient maintenant ultra minimaliste. Perso, j'adore !

Maintenant, la fonction "Recall", on aime ou pas mais déjà c'est optionnel et ensuite, tout reste en local. Alors c'est vrai, et c'est "déjà ça". Mais bon, ça conserve quand même 6 mois de data de tout ce qui est affiché sur vos écrans (mails, mots de passe tapés, conversations, documents), accessible à distance à qui a le mot de passe (et le bon Tailscale). C'est une surface d'attaque qu'il faut prendre en compte, surtout que c'est le même fabricant qui s'était déjà fait prendre avec un micro non documenté dans un de ses KVM . Pas de quoi paniquer cependant car c'est optionnel. Et pour de la bidouille perso / auto-hébergement, ça reste un super jouet. Après, en entreprise, faudra voir...

Sipeed expose aussi toutes les fonctions du KVM via un serveur MCP, le protocole d'Anthropic pour relier les LLM à des outils. Vous branchez votre agent IA préféré dessus, et il va vraiment pouvoir s'éclater en prenant physiquement la main (à 6 doigts forcément ^^) sur la souris et le clavier de la machine.

Sur un KVM IP , on sait depuis longtemps que la moindre faille ouvre la porte à tout et là, vous déléguez volontairement cette porte à un modèle, donc une fois encore, à vous de voir si le jeu en vaut la chandelle.

Le projet est sur Kickstarter, le GitHub et le wiki sont encore vides au moment où j'écris, car la campagne vient d'à peine démarrer. Notez que son concurrent direct, le GL.iNet Comet Q, a déjà rempli son objectif de financement en quelques minutes, lui, donc je pense que Sipeed a toutes ses chances en jouant cette carte de la compacité (45 × 40 × 15 mm), de la 4K et du stockage embarqué (16 Go sur le Go, 64 Go sur le Go+, assez donc pour trimballer des ISO bootables).

Le SoC n'est pas officiellement nommé mais c'est quasi certain qu'il s'agit d'un Axera AX630C avec un NPU à 3,2 TOPS (le même cœur que le NanoKVM Pro 4K quoi).

Les premiers prix Early Bird tournent autour de 59 dollars pour le Go, 79 dollars pour le Go+. MSRP annoncé à 89 et 129 dollars une fois la campagne terminée et côté expédition, Sipeed promet une livraison mondiale depuis Shenzhen, sans date ferme pour l'instant.

Bref, si vous voulez piloter n'importe quelle machine USB-C à distance et que l'idée d'un agent IA qui clique tout seul ne vous fait pas trop flipper, ça peut vous intéresser.

Source

❌
❌