QubesOSのqvm-copy-to-vmに任意コード実行の脆弱性、悪意あるqubeからdom0を完全制御可能に
Arbitrary code execution in QubesOS via copy-to-VM error reporting backchannel
Qubes OSは、dom0からqubeへのファイルコピーに使うqvm-copy-to-vmのエラー報告処理に任意コード実行の脆弱性があると発表しました。悪意あるqubeが細工したファイル名を送ることで、dom0上で任意のコマンドを実行でき、システム全体を乗っ取られる恐れがあります。影響を受けるのは全リリースで、修正版qubes-core-dom0-linux 4.3.22が公開されています。
攻撃者がqubeを侵害し、ユーザーがdom0から侵害されたqubeへのqvm-copy-to-vm呼び出しを開始した場合、攻撃者はこの脆弱性を悪用してdom0に任意のコマンドを注入でき、Qubes OSの制御を奪うことができます。
HNでの議論
96- msm_
これは深刻だ。QubesOSの攻撃面が非常に小さい（セキュアになるようよく設計されている）にもかかわらず、まだ見つかる脆弱性があるということを考えさせられる。
注目すべきは、（私の理解では）この脆弱性はDom0からVMへのコピー時にのみ発生するということだ：
>VM側の`qvm-copy-to-vm`は影響を受けない。なぜなら、そのバージョンのエラー報告機能は`system()`を使用していないからだ：
Dom0を通常の作業に使うべきではなく、感染している可能性のあるVMとのやり取りにも絶対に使うべきではないので、この攻撃の範囲は聞こえるほど大きくない。一方で、それが機能した場合、特権を直接Dom0に昇格させる。
- grommz
創設者のJoanna Rutkowskaは2018年にQubesOSを去った。このバグに関わるすべてのコードは、彼女の後継者であるMarek Marczykowski-Góreckiによってコミットされた。
Joannaは本当に良い人だと思う。彼女はかつて「Intel x86 considered harmful」という論文を書いた。だからこそ、ファーウェイや中国政府は西洋のCPUアーキテクチャを安全にしようともう試みていないのだ。絶望的な原因だからだ。
- sdcfgy
またTheo DeRaadtを思い出させる：https://marc.info/?l=openbsd-misc&m=119318909016582
- user_7832
ちょっと脱線：誰か説明してくれないか。Qubesがなぜセキュリティに使われるのか。BSDのJailsの方が（私の理解では）かなり堅牢で安全で、露出面積もはるかに小さいのに。単に「みんなすでにLinuxを使ってるから、ここにもっと安全なLinuxがある」ってだけなのか？
- zby
私は今でもQubesOSの実績に感銘を受けており、専用の「金融用」ラップトップで使用している。
IMHO、QubesOSを妨げているのはグラフィックのハードウェアアクセラレーションの欠如だ。今、デュアルモニター設定が人気になってきているので、これがセキュリティ上の考慮事項の回避策になるかもしれない？