Ranjivost u OS Qubes koja omogućava zaobilaženje izolacije i izvršavanje koda na razini Dom0

Objavljena je informacija o ranjivosti u operativnom sustavu Qubes, koji koristi hipervizor za strogu izolaciju aplikacija i komponenti sustava (svaka klasa aplikacija i sustavne usluge rade u odvojenim virtualnim mašinama). U slučaju da napadač kompromitira jednu od virtualnih mašina, ranjivost omogućava zaobilaženje izolacije, izvršavanje proizvoljnih naredbi na strani domaćinskog okruženja (Dom0) i preuzimanje kontrole nad cijelim operativnim sustavom. Problem se manifestira kada korisnik koristi alat "qvm-copy-to-vm" za kopiranje datoteke iz domaćinskog okruženja u virtualnu mašinu pod kontrolom napadača. Ranjivost je otklonjena u ažuriranju paketa qubes-core-dom0-linux 4.3.22.

Problem se javlja u alatu "qvm-copy-to-vm" i uzrokovan je nepravilnim rukovanjem pogreškama koje se vraćaju prilikom pristupanja virtualnoj mašini. Suština ranjivosti je u tome što je alat qvm-copy-to-vm za prikaz informacija o pogrešci pokretao programe kdialog ili zenity, koristeći funkciju system() i ubacivajući informacije o neuspješno kopiranoj datoteci među opcije u naredbenoj liniji. Pri tome je čišćenje imena datoteke ograničeno na brisanje ne-ASCII znakova i dvostrukih navodnika bez provjere postojanja specijalnih znakova, koji se interpretiraju od strane komandne ljuske, poput "`" i "$".

Nakon završetka kopiranja datoteka iz domaćinskog sustava, obrtnik na strani virtualne mašine vraća potvrdu o operaciji, u kojoj se između ostalog navodi ime posljednje primljene datoteke. Napad se svodi na vraćanje koda pogreške umjesto potvrde i navođenja za datoteku koja nije mogla biti kopirana, imena s obrađenim specijalnim znakovima komandnog interpreter. Nakon primanja pogreške, obrtnik na strani domaćinskog okruženja pokreće komandu system() za prikaz dijaloga s tekstom pogreške, proslijedivši u naredbenoj liniji vraćeno ime datoteke od strane napadača (na primjer, ako je navedeno "file`id`" na strani domaćinskog okruženja pokrenut će se komanda id).

Izvor: opennet.ru