QubesOS 치명적 취약점: qvm-copy-to-vm 오류 보고로 dom0 임의 코드 실행 가능
Arbitrary code execution in QubesOS via copy-to-VM error reporting backchannel
QubesOS 보안 팀이 QSB-118을 발표했습니다. 이 취약점은 qvm-copy-to-vm 도구의 오류 보고 메커니즘에서 발견되었으며, 악성 qube가 dom0에 임의 명령을 주입할 수 있습니다. 사용자가 dom0에서 손상된 qube로 파일을 복사할 때, 공격자는 특수하게 조작된 파일 이름을 통해 셸 메타 문자를 주입하고 system() 호출을 악용할 수 있습니다. 모든 Qubes OS 릴리스가 영향을 받으며, 4.3 버전은 qubes-core-dom0-linux 4.3.22 패치로 해결됩니다.
sanitize_remote_filename()는 비ASCII 문자와 큰따옴표만 제거하고 셸 메타 문자는 그대로 남겨두므로, system()이 공격자가 제어하는 이름을 셸을 통해 실행하게 됩니다.
HN 토론
96- msm_
와, 이건 심각하네요. QubesOS의 공격 표면이 아주 작음에도 불구하고(보안을 잘 설계했음에도) 여전히 발견될 취약점이 있다는 생각이 들게 합니다.
주목할 점은 (제가 이해하기로) 이 취약점은 Dom0에서 VM으로 복사할 때만 발생한다는 것입니다:
>VM 변형 `qvm-copy-to-vm`은 오류 보고 함수가 `system()`을 사용하지 않기 때문에 영향을 받지 않습니다:
일반적인 작업에 Dom0을 사용해서는 안 되고, 감염되었을 가능성이 있는 VM과의 상호작용에도 절대 사용해서는 안 되기 때문에, 이 공격의 범위는 생각보다 작습니다. 반대로, 공격이 성공하면 권한이 바로 Dom0로 상승합니다.
- grommz
창립자 Joanna Rutkowska는 2018년에 QubesOS를 떠났습니다. 이 버그에 관련된 모든 코드는 그녀의 후임자 Marek Marczykowski-Górecki가 커밋했습니다.
Joanna는 진정으로 좋은 사람인 것 같습니다. 그녀는 한때 "Intel x86은 유해한 것으로 간주됨"이라는 제목의 논문을 썼습니다. 그래서 화웨이와 중국 정부는 더 이상 서양 CPU 아키텍처를 안전하게 만들려고 시도조차 하지 않습니다. 그것은 희망이 없는 일이기 때문입니다.
- sdcfgy
Theo DeRaadt가 다시 생각나네요: https://marc.info/?l=openbsd-misc&m=119318909016582
- user_7832
잠깐 다른 얘기: 제가 이해하기로 BSD의 Jails가 훨씬 더 견고하고 안전하며 노출 영역이 훨씬 작은데, 왜 Qubes가 보안에 사용되는지 설명해 줄 수 있는 사람이 있나요? 그냥 "모두가 이미 리눅스를 사용하고 있으니, 여기 더 안전한 리눅스가 있습니다"라는 것인가요?
- zby
저는 여전히 QubesOS의 성과에 감명을 받았고, 전용 '금융' 노트북에 사용하고 있습니다.
제 생각에 QubesOS를 가로막는 것은 그래픽 하드웨어 가속의 부재입니다. 아마도 이중 모니터 설정이 대중화되는 지금, 이것이 보안 고려 사항에 대한 해결책이 될 수 있을까요?