Qubes Security Bulletin 120 报告 Qubes OS 关键漏洞，允许 dom0 任意代码执行。如果用户从 dom0 向受损虚拟机复制文件，恶意虚拟机可以注入命令到 dom0，可能完全控制系统。

该漏洞存在于 qvm-copy-to-vm 工具的文件名清理过程。当复制失败时，目标虚拟机通过错误信息将文件名回传给 dom0，显示 GUI 消息使用 system() 函数。sanitize_remote_filename() 函数仅移除非 ASCII 字符和双引号，保留 shell 元字符，从而实现命令注入。

利用此漏洞需要用户在 dom0 向受损虚拟机发起 qvm-copy-to-vm 调用。无需其他用户操作即可利用。用户应正常更新以获取安全补丁。qvm-copy-to-vm 的虚拟机版本不受影响，因为其错误报告功能与 dom0 实现不同。

关键实体：公司：Qubes OS

常见问题：攻击者如何利用 QubesOS 复制到虚拟机漏洞？

攻击者通过入侵虚拟机并等待用户从 dom0 向该受损虚拟机发起 qvm-copy-to-vm 操作，恶意虚拟机可通过错误报告机制注入任意 shell 命令，因文件名清理不当将命令传递给 system() 显示 GUI。