Ang kahinaan sa vhost-net na nagbibigay-daan sa isolation bypass sa mga system batay sa QEMU-KVM

Nabunyag impormasyon tungkol sa mga kahinaan (CVE-2019-14835), na nagpapahintulot sa iyo na lumampas sa guest system sa KVM (qemu-kvm) at patakbuhin ang iyong code sa gilid ng host environment sa konteksto ng Linux kernel. Ang kahinaan ay na-codenamed na V-gHost. Ang problema ay nagpapahintulot sa guest system na lumikha ng mga kundisyon para sa isang buffer overflow sa vhost-net kernel module (network backend para sa virtio), na isinasagawa sa gilid ng host environment. Ang pag-atake ay maaaring isagawa ng isang attacker na may privileged access sa guest system sa panahon ng virtual machine migration operation.

Pag-aayos ng Problema kasama kasama sa Linux 5.3 kernel. Bilang mga solusyon sa pagharang sa kahinaan, maaari mong i-disable ang live na paglipat ng mga guest system o i-disable ang vhost-net module (idagdag ang “blacklist vhost-net” sa /etc/modprobe.d/blacklist.conf). Lumilitaw ang problema simula sa Linux kernel 2.6.34. Naayos na ang kahinaan sa Ubuntu и Fedora, ngunit nananatiling hindi naitama sa Debian, Arch Linux, SUSE и RHEL.

Pinagmulan: opennet.ru