Sårbarhet i Qubes OS som tillater omgåelse av isolasjon og kjøring av kode på Dom0-nivå

Informasjonen om sårbarheten i operativsystemet Qubes, som bruker hypervisor for streng isolasjon av applikasjoner og komponenter i OS (hvert type applikasjoner og systemtjenester kjører i separate virtuelle maskiner), er publisert. Hvis en angriper kompromitterer en av de virtuelle maskinene, tillater sårbarheten å omgå isolasjonen, oppnå utførelse av vilkårlige kommandoer på vertsmiljøet (Dom0) og få kontroll over hele operativsystemet. Problemet oppstår når brukeren bruker verktøyet «qvm-copy-to-vm» for å kopiere en fil fra vertsmiljøet til en virtuell maskin kontrollert av angriperen. Sårbarheten er løst i oppdateringen av pakken qubes-core-dom0-linux 4.3.22.

Problemet finnes i verktøyet «qvm-copy-to-vm» og er forårsaket av utilstrekkelig feilhåndtering, som returneres ved forespørsel til en virtuell maskin. Kjerneproblemet med sårbarheten er at verktøyet qvm-copy-to-vm for å vise feilmeldinger startet programmene kdialog eller zenity, ved å bruke funksjonen system() og sette informasjon om den mislykkede filkopieringen som alternativer i kommandolinjen. Rensingen av filnavnet var begrenset til å fjerne ikke-ASCII-tegn og doble anførselstegn uten å sjekke for spesialtegn som tolkes av kommandoskallet, som «`» og «$».

Etter at filoverføringen fra vertsdatamaskinen er fullført, sender behandleren på den virtuelle maskinen bekreftelse av operasjonen tilbake, hvor det blant annet oppgis navnet på den siste mottatte filen. Angrepet går ut på å returnere feilkoden i stedet for bekreftelse, og for å gi filen som ikke ble kopiert et navn med spesialtegn behandlet av kommandotolkeren. Etter å ha mottatt en feil, vil behandleren på vertsmiljøet starte verktøyet for å vise dialogen med feilmeldingen ved hjelp av system()-kommandoen, og gi det returnerte filnavnet fra angriperen i kommandolinjen (for eksempel, når det er angitt «file`id`» på vertsmiljøet, vil kommandoen id bli kjørt).

Kilde: opennet.ru