QEMU-KVM に基づくシステムで分離バイパスを可能にする vhost-net の脆弱性

明らかにした についての情報 脆弱性 (CVE-2019-14835) を使用すると、KVM (qemu-kvm) のゲスト システムを超えて、Linux カーネルのコンテキストでホスト環境側でコードを実行できます。 この脆弱性のコード名は「V-gHost」です。 この問題により、ゲスト システムは、ホスト環境側で実行される vhost-net カーネル モジュール (virtio のネットワーク バックエンド) でバッファ オーバーフローの条件を作成する可能性があります。 この攻撃は、仮想マシンの移行操作中にゲスト システムへの特権アクセスを持つ攻撃者によって実行される可能性があります。

問題の修正 含まれる Linux 5.3 カーネルに含まれています。 脆弱性をブロックするための回避策として、ゲスト システムのライブ マイグレーションを無効にするか、vhost-net モジュールを無効にすることができます (「blacklist vhost-net」を /etc/modprobe.d/blacklist.conf に追加します)。 この問題は、Linux カーネル 2.6.34 以降で発生します。 脆弱性は修正されました Ubuntu и フェドーラ、でもまだ修正されていないままです。 Debianの, アーチのLinux, SUSE и RHEL.

出所： オープンネット.ru