Уязвимост в ОС Qubes, която позволява да се заобиколи изолацията и да се изпълни код на ниво Dom0

Публикувана информация за уязвимост в операционната система Qubes, която използва хипервизор за стриктна изолация на приложенията и компонентите на ОС (всяка клас на приложения и системните услуги функционират в отделни виртуални машини). В случай, че нападателят компрометира една от виртуалните машини, уязвимостта позволява да се заобиколи изолацията, да се изпълнят произволни команди на страна на хостовата среда (Dom0) и да се получи контрол над цялата операционна система. Проблемът се проявява при използване от потребителя на утилитата „qvm-copy-to-vm“ за копиране на файл от хостовата среда до контролираната от нападателя виртуална машина. Уязвимостта е отстранена в обновлението на пакета qubes-core-dom0-linux 4.3.22.

Проблемът присъства в утилитата „qvm-copy-to-vm“ и е причинен от неправилна обработка на грешки, връщани при достъп до виртуална машина. Същността на уязвимостта е, че утилитата qvm-copy-to-vm за показване на информация за грешка е стартирала програми kdialog или zenity, използвайки функцията system() и подставяйки информация за неуспешно копирания файл в списък с опции на командния ред. При това почистването на името на файла е ограничено до премахване на не-ASCII символи и двойни кавички без проверка за наличието на специални символи, интерпретирани от командната обвивка, като „`“ и „$“.

След приключване на копирането на файлове от хостовата система, обработчикът на страната на виртуалната машина връща обратно потвърждение на операцията, в която наред с другото се посочва името на последния получен файл. Атаката се свежда до връщане на код за грешка вместо потвърждение и указание за файла, който не е могъл да бъде копиран, с име, съдържащо обработвани специални символи от командния интерпретатор. След получаване на грешката, обработчикът на страната на хостовата среда ще стартира с командата system() утилита за показване на диалог с текста на грешката, предавайки в командния ред върнатото от нападателя име на файла (например, при указване на „file`id`“ от страната на хостовата среда ще се стартира командата id).

Източник: opennet.ru