Qubes Security Bulletin 120 reporta una vulnerabilidad crítica en Qubes OS que permite ejecución arbitraria de código en dom0 a través de un error en qvm-copy-to-vm. Si un usuario copia un archivo desde dom0 a una máquina virtual comprometida, la VM maliciosa puede inyectar comandos en dom0, potencialmente tomando el control total del sistema.

La falla existe en el proceso de saneamiento del nombre de archivo del herramienta qvm-copy-to-vm. Cuando la copia falla, la VM objetivo informa errores que incluyen el nombre del archivo de vuelta a dom0, que muestra un mensaje GUI utilizando la función system(). La función sanitize_remote_filename() solo elimina caracteres no ASCII y comillas dobles, dejando intactos los caracteres meta de shell, lo que permite inyección de comandos.

La vulnerabilidad requiere que el usuario inicie una llamada a qvm-copy-to-vm desde dom0 a una VM comprometida. No se necesita otra acción del usuario para la explotación. Los usuarios deben actualizar normalmente para recibir parches de seguridad. La versión de máquina virtual de qvm-copy-to-vm no se ve afectada, ya que su función de reporte de errores difiere de la implementación de dom0.

Entidades clave: Empresas: Qubes OS

Preguntas frecuentes: ¿Cómo pueden los atacantes explotar la vulnerabilidad de copia a VM en QubesOS?

Los atacantes pueden explotar esto comprometiendo una máquina virtual y esperando a que un usuario inicie una operación de qvm-copy-to-vm desde dom0 a esa VM comprometida. La VM maliciosa puede inyectar comandos de shell arbitrarios a través del mecanismo de reporte de errores, que inadecuadamente sanitiza los nombres de archivo antes de pasarlos a system() para la visualización en GUI.