Er is informatie gepubliceerd over een kwetsbaarheid in het Qubes-besturingssysteem, dat een hypervisor gebruikt voor strikte isolatie van applicaties en OS-componenten (iedere applicatieklasse en systeemservice draait in aparte virtuele machines). In het geval dat een aanvaller een van de virtuele machines compromitteert, stelt de kwetsbaarheid in staat om de isolatie te omzeilen, willekeurige commando's uit te voeren aan de hostomgeving (Dom0) en controle te krijgen over het volledige besturingssysteem. Het probleem doet zich voor wanneer een gebruiker het hulpprogramma 'qvm-copy-to-vm' gebruikt om een bestand van de hostomgeving naar de door de aanvaller gecontroleerde virtuele machine te kopiƫren. De kwetsbaarheid is verholpen in de update van het pakket qubes-core-dom0-linux 4.3.22.
Het probleem is aanwezig in het hulpprogramma 'qvm-copy-to-vm' en wordt veroorzaakt door onjuiste foutafhandeling bij toegang tot een virtuele machine. De kern van de kwetsbaarheid is dat het hulpprogramma qvm-copy-to-vm om foutinformatie weer te geven, de programma's kdialog of zenity aanroept, gebruikmakend van de functie system() en de informatie over het niet-succesvolle bestand als opties in de opdrachtregel invoegt. Daarbij werd de naam van het bestand alleen schoongemaakt door niet-ASCII-tekens en dubbele aanhalingstekens te verwijderen, zonder te controleren op de aanwezigheid van speciale tekens die door de shell worden geĆÆnterpreteerd, zoals '`' en '$'.
Na het copiƫren van bestanden van het hostsysteem, geeft de handler aan de virtuele machine een bevestiging van de operatie terug, waarin onder andere de naam van het laatste ontvangen bestand wordt vermeld. De aanval bestaat uit het terugsturen van een foutcode in plaats van een bevestiging en het aangeven van een naam voor het bestand dat niet kon worden gekopieerd, met speciale karakters die door de command interpreter worden verwerkt. Na ontvangst van de fout zal de handler aan de hostomgeving het hulpprogramma starten met het commando system() om een dialoogvenster met de foutmelding weer te geven, waarbij de door de aanvaller teruggestuurde bestandsnaam in de opdrachtregel wordt doorgegeven (bijvoorbeeld wanneer 'file`id`' wordt opgegeven aan de hostomgeving zal de opdracht id worden uitgevoerd).
Bron: opennet.ru
