Eine Schwachstelle in vhost-net, die die Umgehung der Isolation in Systemen ermöglicht, die auf QEMU-KVM basieren

Enthüllt Information über Schwachstellen (CVE-2019-14835), wodurch Sie über das Gastsystem in KVM (qemu-kvm) hinausgehen und Ihren Code auf der Seite der Hostumgebung im Kontext des Linux-Kernels ausführen können. Die Sicherheitslücke trägt den Codenamen V-gHost. Das Problem ermöglicht es dem Gastsystem, Bedingungen für einen Pufferüberlauf im vhost-net-Kernelmodul (Netzwerk-Backend für Virtio) zu schaffen, das auf der Seite der Host-Umgebung ausgeführt wird. Der Angriff könnte von einem Angreifer mit privilegiertem Zugriff auf das Gastsystem während einer Migration einer virtuellen Maschine ausgeführt werden.

Behebung des Problems enthalten im Linux 5.3-Kernel enthalten. Als Problemumgehungen zum Blockieren der Schwachstelle können Sie die Live-Migration von Gastsystemen oder das vhost-net-Modul deaktivieren (fügen Sie „blacklist vhost-net“ zu /etc/modprobe.d/blacklist.conf hinzu). Das Problem tritt ab Linux-Kernel 2.6.34 auf. Die Sicherheitslücke wurde behoben Ubuntu и Fedora, bleibt aber immer noch unkorrigiert in Debian, Arch Linux, SUSE и RHEL.

Source: opennet.ru