Foi publicada uma informação sobre uma vulnerabilidade no sistema operacional Qubes, que utiliza um hipervisor para o isolamento rigoroso de aplicativos e componentes do OS (cada classe de aplicativos e serviços do sistema opera em máquinas virtuais separadas). Caso um invasor comprometa uma das máquinas virtuais, a vulnerabilidade permite contornar o isolamento, executar comandos arbitrários no ambiente host (Dom0) e obter controle total sobre todo o sistema operacional. O problema se manifesta quando o usuário utiliza a ferramenta "qvm-copy-to-vm" para copiar um arquivo do ambiente host para uma máquina virtual sob controle do atacante. A vulnerabilidade foi corrigida na atualização do pacote qubes-core-dom0-linux 4.3.22.
O problema está presente na ferramenta "qvm-copy-to-vm" e é causado pelo tratamento inadequado de erros retornados ao acessar máquina virtual. A essência da vulnerabilidade é que a ferramenta qvm-copy-to-vm, para exibir informações sobre o erro, chamava os programas kdialog ou zenity, utilizando a função system() e inserindo as informações sobre o arquivo que não foi copiado como opções na linha de comando. Neste processo, a limpeza do nome do arquivo era limitada à remoção de caracteres não ASCII e de aspas duplas, sem verificar a presença de caracteres especiais interpretados pelo shell, como " ` " e " $ ".
Após a conclusão da cópia dos arquivos do sistema host, o manipulador na máquina virtual retorna uma confirmação da operação, que, entre outras informações, indica o nome do último arquivo recebido. O ataque consiste em retornar um código de erro em vez de uma confirmação e especificar para o arquivo que não conseguiu ser copiado, um nome contendo caracteres especiais que são processados pelo interpretador de comandos. Após receber o erro, o manipulador no ambiente host irá executar, por meio do comando system(), a ferramenta para exibir o diálogo com o texto do erro, passando na linha de comando o nome do arquivo retornado pelo atacante (por exemplo, ao especificar "file`id`" no ambiente host, o comando id será executado).
Fonte: opennet.ru
