Qubes Security Bulletin 120 は、qvm-copy-to-vm エラーを通じて dom0 に任意コード実行が可能な Qubes OS の重大な脆弱性を報告します。 dom0 からコンプライアされた VM へのファイルコピーを行うと、悪意ある VM が dom0 にコマンドを注入し、システムを完全に制御できる可能性があります。

この脆弱性は、qvm-copy-to-vm ツールのファイル名サニタイズ処理に存在します。コピーに失敗すると、ターゲット VM はエラーメッセージにファイル名を含めて dom0 に報告し、system() 関数を使用して GUI メッセージを表示します。sanitize_remote_filename() 関数は非 ASCII 文字とダブルクオートのみを削除し、シェルメタキャラクタを残したままにするため、コマンド注入が可能になります。

この脆弱性の利用には、dom0 からコンプライアされた VM への qvm-copy-to-vm 呼び出しをユーザーが開始する必要があります。他のユーザー操作は必要ありません。ユーザーは通常通り更新してセキュリティパッチを取得する必要があります。qvm-copy-to-vm の VM バージョンは dom0 の実装と異なるエラーレポート機能を持つため影響を受けません。

主要実体：企業：Qubes OS

FAQ：攻撃者は QubesOS コピー対 VM 脆弱性をどのように悪用できますか？

攻撃者は、VM を妥協させ、ユーザーが dom0 からそのコンプライアされた VM への qvm-copy-to-vm 操作を開始するのを待つことでこの脆弱性を悪用できます。悪意ある VM は、エラー報告機構を通じて任意のシェルコマンドを注入し、ファイル名の不適切なサニタイズ後に system() に渡すことで GUI に表示します。