Qubes Security Bulletin 120 signale une vulnérabilité critique permettant l'exécution de code arbitraire dans dom0 via l'erreur qvm-copy-to-vm. Si un utilisateur copie un fichier de dom0 vers une machine virtuelle compromise, la VM malveillante peut injecter des commandes dans dom0, potentiellement prendre le contrôle total du système.

La faille existe dans le processus de nettoyage du nom de fichier de l'outil qvm-copy-to-vm. Lorsque la copie échoue, la machine virtuelle cible signale des erreurs incluant le nom du fichier à dom0, qui affiche un message GUI en utilisant la fonction system(). La fonction sanitize_remote_filename() ne supprime que les caractères non ASCII et les guillemets doubles, laissant les caractères méta de shell intacts, ce qui permet l'injection de commandes.

L'exploitation de cette vulnérabilité nécessite que l'utilisateur lance un appel à qvm-copy-to-vm depuis dom0 vers une VM compromise. Aucune autre action utilisateur n'est requise pour l'exploitation. Les utilisateurs doivent mettre à jour normalement pour recevoir les correctifs de sécurité. La version de machine virtuelle de qvm-copy-to-vm n'est pas affectée, car sa fonction de signalement d'erreurs diffère de l'implémentation de dom0.

Entités clés : Entreprises : Qubes OS

FAQ : Comment les attaquants peuvent-ils exploiter la vulnérabilité de copie à VM dans QubesOS ?

Les attaquants peuvent exploiter cette vulnérabilité en compromettant une machine virtuelle et en attendant qu'un utilisateur initie une opération de qvm-copy-to-vm depuis dom0 vers cette VM compromise. La VM malveillante peut alors injecter des commandes shell arbitraires via le mécanisme de signalement d'erreurs, qui ne sanitise pas correctement les noms de fichiers avant de les passer à system() pour l'affichage GUI.