Schwachstelle in vhost-net, die die Isolation in QEMU-KVM-basierten Systemen umgeht.

Aufgedeckt Informationen über von Schwachstellen (CVE-2019-14835), die es ermöglicht, die Grenzen des Gastbetriebssystems in KVM (qemu-kvm) zu überschreiten und eigenen Code im Host-Umfeld im Kontext des Linux-Kernels auszuführen. Die Schwachstelle trägt den Codenamen V-gHost. Das Problem erlaubt es, Bedingungen für einen Buffer-Overflow im vhost-net-Kernelmodul (Netzwerk-Backend für virtio), das im Host-Umfeld ausgeführt wird, aus dem Gastbetriebssystem heraus zu schaffen. Ein Angreifer mit privilegierten Zugriff auf das Gastbetriebssystem kann während des Betriebs einer virtuellen Maschinenmigration angreifen.

Behebung des Problems eingeschlossen im Kernel von Linux 5.3. Als Umgehungslösung zur Blockierung der Schwachstelle kann die Live-Migration von Gastbetriebssystemen verboten oder das Modul vhost-net deaktiviert werden (fügen Sie „blacklist vhost-net“ in /etc/modprobe.d/blacklist.conf hinzu). Das Problem tritt seit Kernel 2.6.34 auf. Die Schwachstelle wurde in Ubuntu und Fedora, aber bleibt bisher ungelöst in Debian, Arch Linux, SUSE und RHEL.

Quelle: opennet.ru