I ricercatori che di recente hanno identificato una vulnerabilità Fragnesia nel kernel Linux hanno pubblicato informazioni sulle vulnerabilità in QEMU che consentono di ottenere accesso root all'ambiente host da un sistema guest. Questo problema è stato assegnato il nome in codice QEMUtiny, ma non è ancora stato assegnato un identificatore CVE. È stato preparato un exploit che sfrutta due vulnerabilità nel codice di emulazione del dispositivo CXL (Compute Express Link).
Entrambe le vulnerabilità sono presenti nel codice cxl-mailbox-utils.c. La prima vulnerabilità si manifesta a partire dalla versione 7.1.0 di QEMU e porta alla lettura della memoria da aree al di fuori del buffer allocato, a causa del fatto che la funzione cmd_logs_get_log() interpreta erroneamente l'offset richiesto del log CEL come un indice in un array, mentre è definito in byte. La seconda vulnerabilità si manifesta a partire dalla versione 11.0.0 di QEMU e causa un overflow del buffer nella funzione cmd_features_set_feature() a causa della gestione dell'offset sulle strutture durante la scrittura degli attributi senza controllare che il valore calcolato "offset + bytes_to_copy" rientri nella dimensione della struttura selezionata.
Attualmente, l'attacco è possibile solo sull'ultima versione di QEMU 11.0.0. Non ci sono notizie sulla correzione; è stato comunicato solo che, prima della divulgazione della vulnerabilità, le informazioni sono state trasmesse agli sviluppatori di QEMU, che hanno risposto che il supporto per il dispositivo CXL in QEMU non è stato implementato per l'uso nella virtualizzazione.
L'exploit è stato testato con il codice sorgente di QEMU del 11 maggio con l'ultimo commit 5e61afe. Il funzionamento dell'exploit è legato al layout delle strutture in memoria di ciascun specifico build di QEMU e della libc di sistema, ma secondo gli studiosi, sfruttando la vulnerabilità per la scansione della memoria che porta a letture dall'area esterna al buffer, è possibile creare un exploit universale che funzioni con diverse versioni di QEMU.
Fonte: opennet.ru
