QubesOS 远程代码执行漏洞曝光
Arbitrary code execution in QubesOS via copy-to-VM error reporting backchannel
Qubes Security Bulletin 118 披露了一个严重的安全漏洞：当用户通过 qvm-copy-to-vm 工具将文件从 dom0 复制到被攻陷的虚拟机时，攻击者可利用错误报告机制向 dom0 注入任意命令，从而完全接管 Qubes OS 系统。该漏洞源于 sanitize_remote_filename 函数未能过滤 Shell 元字符，导致 system 函数执行了包含恶意载荷的文件名。所有 Qubes OS 版本均受影响，用户需立即通过 Qubes Update 工具安装 qubes-core-dom0-linux 4.3.22 版本进行修复。
如果攻击者已经攻陷了一个虚拟机，并且用户从 dom0 向该受损虚拟机发起了 qvm-copy-to-vm 调用，那么攻击者就可以利用此漏洞向 dom0 注入任意命令，从而完全控制 Qubes OS。
HN 评论区
96- msm_
哇，这问题很严重。让人不得不想，尽管 QubesOS 的攻击面极小（设计初衷就是为了安全），居然还是会被发现漏洞。
值得指出的是（据我理解），这个漏洞仅在从 Dom0 执行 copy-to-VM 时才会触发：
>注意，VM 版本的 `qvm-copy-to-vm` 不受影响，因为其错误报告函数版本并未使用 `system()`：
既然你不该在 Dom0 上进行常规操作，更不该用它来与可能已感染的 VM 交互，那么该攻击的实际范围比听起来要小。但反过来，一旦攻击成功，权限会直接提升至 Dom0。
- sdcfgy
这让我又想起了 Theo DeRaadt：https://marc.info/?l=openbsd-misc&m=119318909016582
- grommz
创始人 Joanna Rutkowska 已于 2018 年离开 QubesOS。涉及此漏洞的所有代码均由其继任者 Marek Marczykowski-Górecki 提交。
Joanna 看起来是个真正的好人，她曾写过一篇题为《Intel x86 considered harmful》的论文。正因如此，华为和中国政府甚至不再尝试让西方 CPU 架构变得安全，因为那已是一场毫无希望的徒劳。
- zby
我依然对 QubesOS 的轨迹印象深刻，并将其用于我专用的“财务”笔记本电脑。
在我看来，阻碍 QubesOS 普及的因素是缺乏图形硬件加速——也许现在双显示器配置越来越流行，这能成为一种兼顾安全考量的变通方案？
- polotics
我依然对 qubes 印象深刻，也很庆幸自己并非那种需要在其所有笔记本电脑上启用如此高规格 opsec 的目标。
也许有一天，AI 辅助的杀伤链将如此普遍，以至于 Qubes 将成为（少数？）仍使用本地计算的用户所能接受的最低安全标准。
我绝不会从 dom0 复制任何东西到其他 qube，其影响范围很低。