QubesOS-Sicherheitslücke: Beliebiger Code in Dom0 per qvm-copy-to-vm
Arbitrary code execution in QubesOS via copy-to-VM error reporting backchannel
Das Qubes OS Security Team hat QSB-118 veröffentlicht: Eine Schwachstelle in der Fehlerbehandlung von qvm-copy-to-vm erlaubt es einer kompromittierten Qube, beliebige Befehle in Dom0 auszuführen. Ursache ist eine unzureichende Bereinigung von Dateinamen, die in einem system()-Aufruf landen. Alle Qubes-OS-Versionen sind betroffen; ein Update auf qubes-core-dom0-linux 4.3.22 behebt das Problem.
Das Problem ist, dass sanitize_remote_filename() nur Nicht-ASCII-Zeichen (und doppelte Anführungszeichen) entfernt, aber Shell-Metazeichen unangetastet lässt.
- msm_
Wow, das ist ernst. Man fragt sich, dass, obwohl die Angriffsfläche von QubesOS so winzig ist (gut designed, um sicher zu sein), immer noch Schwachstellen zu finden sind.
Bemerkenswert ist, dass (wie ich verstehe) diese Schwachstelle nur auftritt, wenn man von Dom0 aus 'Copy-to-VM' macht:
>Beachten Sie, dass die VM-Variante von `qvm-copy-to-vm` nicht betroffen ist, da ihre
>Version der Fehlerberichtsfunktion kein `system()` verwendet:
Da man Dom0 nicht für reguläre Arbeit nutzen sollte und schon gar nicht für die Interaktion mit wahrscheinlich infizierten VMs, ist der Umfang dieses Angriffs kleiner, als es klingt. Auf der anderen Seite, wenn es funktioniert, erhöht es die Privilegien direkt auf Dom0.
- grommz
Die Gründerin Joanna Rutkowska hat QubesOS 2018 verlassen. Der gesamte Code, der an diesem Bug beteiligt ist, wurde von ihrem Nachfolger Marek Marczykowski-Górecki eingebracht.
Joanna scheint ein wirklich Guter zu sein, sie hat einmal ein Papier mit dem Titel "Intel x86 considered harmful" geschrieben. Deshalb versuchen Huawei und die chinesische Regierung nicht einmal mehr, westliche CPU-Architekturen sicher zu machen, es ist ein hoffnungsloser Fall.
- sdcfgy
Erinnert mich wieder an Theo DeRaadt: https://marc.info/?l=openbsd-misc&m=119318909016582
- user_7832
Kleine Randnotiz: Kann mir jemand erklären, warum Qubes für Sicherheit verwendet wird, wenn (soweit ich verstehe) Jails unter BSD deutlich robuster/sicherer sind und eine viel kleinere exponierte Fläche haben? Ist es einfach "alle benutzen bereits Linux; hier ist ein sichereres Linux"?
- zby
Ich bin immer noch beeindruckt von QubesOS und nutze es für mein dediziertes 'Finanz'-Laptop.
Meiner Meinung nach ist das, was QubesOS zurückhält, das Fehlen von Hardware-Beschleunigung für Grafiken – vielleicht könnte das jetzt, wo Dual-Monitor-Setups beliebt werden, ein Workaround für die Sicherheitsüberlegungen sein?