Eine Schwachstelle in vhost-net, die es ermöglicht, die Isolation in QEMU-KVM-basierten Systemen zu umgehen.

Offenbart Informationen über Sicherheitsanfälligkeiten (CVE-2019-14835), die es ermöglicht, über die Gastgeberumgebung in KVM (qemu-kvm) hinauszugehen und eigenen Code im Kontext des Linux-Kernels auszuführen. Die Schwachstelle trägt den Codenamen V-gHost. Dieses Problem erlaubt es, aus der Gastumgebung Bedingungen für einen Buffer Overflow im vhost-net-Kernelmodul (Netzwerk-Backend für virtio) zu schaffen, das auf der Gastgeberumgebung ausgeführt wird. Ein Angreifer mit privilegierten Zugang zur Gastumgebung kann den Angriff während der Migration von virtuellen Maschinen durchführen.

Behebung des Problems aktiviert. im Kern von Linux 5.3. Als Workarounds zur Blockierung der Schwachstelle kann die Live-Migration von Gastumgebungen verboten oder das vhost-net-Modul deaktiviert werden (füge „blacklist vhost-net“ zu /etc/modprobe.d/blacklist.conf hinzu). Das Problem tritt seit dem Kern von Linux 2.6.34 auf. Die Schwachstelle wurde in Ubuntu und , aber bisher ist er noch nicht inArchLinux Debian, Arch Linux, SUSE und RHEL.

Quelle: opennet.ru