Podatności QEMU

Przepełnienie bufora oparte na stercie w funkcji pcnet_receive w pliku hw/net/pcnet.c w QEMU umożliwia administratorom systemów gościnnych spowodowanie awarii instancji lub potencjalne wykonanie dowolnego kodu poprzez serię pakietów w trybie loopback.

Qemu w wersjach do 2.10.0 pozwala zdalnym atakującym na wywołanie wycieku pamięci poprzez uruchomienie wolnych operacji odczytu kanału danych, związanych z plikiem io/channel-websock.c.

Podatność typu use-after-free w funkcji sofree w pliku slirp/socket.c w QEMU umożliwia atakującym spowodowanie awarii instancji QEMU poprzez niewłaściwe czyszczenie ifq_so z oczekujących pakietów.

W QEMU przed wersją 1.7.2 oraz 2.x przed wersją 2.0.0 występują wielokrotne przepełnienia bufora, które mogą pozwolić lokalnym użytkownikom na spowodowanie awarii systemu lub potencjalne wykonanie dowolnego kodu. Problemy te dotyczą funkcji qcow2_snapshot_load_tmp w sterowniku QCOW 2 oraz różnych parametrów w sterowniku DMG.

W QEMU, przed wersją 2.0.0, występują wielokrotne przepełnienia całkowite w sterownikach blokowych, które mogą prowadzić do awarii systemu. Użytkownicy lokalni mogą wykorzystać te luki, dostarczając odpowiednio skonstruowane dane wejściowe, co skutkuje przepełnieniem bufora i uszkodzeniem pamięci.

qemu-nbd w QEMU nie ignoruje sygnału SIGPIPE, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (awaria demona) poprzez rozłączenie podczas próby odpowiedzi serwera do klienta.

W QEMU występuje wyciek pamięci w pliku audio/audio.c, który pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez wielokrotne uruchamianie i zatrzymywanie przechwytywania dźwięku.

Funkcja disas_insn w QEMU przed wersją 2.9.0 nie ogranicza rozmiaru instrukcji w trybie TCG bez akceleracji sprzętowej, co pozwala lokalnym użytkownikom na uzyskanie uprawnień poprzez stworzenie zmodyfikowanego bloku podstawowego, który wstrzykuje kod do programu setuid.

Interfejs monitorowania w QEMU umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez zapis poza granicami oraz awarię aplikacji.

W QEMU występuje wyciek pamięci w pliku net/vmxnet3.c, co pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez nadmierne zużycie pamięci.

W QEMU, zbudowanym z użyciem emulatora systemu PC opartego na chipsecie Q35, występuje przepełnienie bufora w stercie. Ta podatność może prowadzić do nieautoryzowanego dostępu do pamięci.

Funkcje esp_reg_read i esp_reg_write w QEMU umożliwiają lokalnym administratorom systemu gościa spowodowanie awarii procesu QEMU lub wykonanie dowolnego kodu na hoście QEMU poprzez manipulację buforem transferu informacji.

W funkcji iscsi_aio_ioctl w pliku block/iscsi.c w QEMU występuje przepełnienie bufora oparte na stercie, które może być wykorzystane przez lokalnych użytkowników systemu gościa do spowodowania awarii procesu QEMU lub potencjalnego wykonania dowolnego kodu za pomocą spreparowanego wywołania ioctl asynchronicznego I/O iSCSI.

Funkcja net_checksum_calculate w QEMU umożliwia lokalnym użytkownikom systemu gościa spowodowanie odmowy usługi poprzez odczyt poza granicami sterty i awarię, wykorzystując długość ładunku w spreparowanej paczce.

Funkcje fw_cfg_write i fw_cfg_read w QEMU przed wersją 2.4, przy wsparciu emulacji urządzenia Firmware Configuration, umożliwiają użytkownikom systemu gościa z uprawnieniami CAP_SYS_RAWIO wywołanie odmowy usługi lub potencjalnie wykonanie dowolnego kodu poprzez nieprawidłową wartość bieżącego wpisu w konfiguracji firmware.

Dekoder ramek websocket VNC w QEMU pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez dużą ładunek websocket lub sekcję nagłówków HTTP.

W pliku hw/ide/core.c w QEMU nie są odpowiednio ograniczane polecenia akceptowane przez urządzenie ATAPI, co pozwala użytkownikom gościa na spowodowanie odmowy usługi lub potencjalnie innych nieokreślonych skutków poprzez określone polecenia IDE.

W funkcji ne2000_receive w pliku hw/net/ne2000.c w QEMU przed wersją 2.4.0.1 występuje przepełnienie bufora na stercie, które może prowadzić do awarii instancji lub potencjalnego wykonania dowolnego kodu przez użytkowników systemu gościa w związku z odbieraniem pakietów.

Funkcja host_from_stream_offset w arch_init.c w QEMU, podczas ładowania RAM w trakcie migracji, umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowaną wartość (1) offsetu lub (2) długości w danych savevm.

Przepełnienie całkowite w funkcji qcow_open w pliku block/qcow.c w QEMU przed wersją 1.7.2 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez dużą tabelę L2 w obrazie QCOW wersji 1.

W funkcji virtio_load w pliku hw/virtio/virtio.c w QEMU przed wersją 1.7.2 występuje przepełnienie bufora oparte na stercie, które może pozwolić zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowaną długość konfiguracji w obrazie savevm.

Błąd indeksu tablicy w funkcji virtio_load w pliku hw/virtio/virtio.c w QEMU przed wersją 1.7.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany obraz savevm.

Funkcja virtio_scsi_load_request w QEMU przed wersją 1.7.2 może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany obraz savevm, co prowadzi do dostępu poza granice tablicy.

Funkcja usb_device_post_load w QEMU przed wersją 1.7.2 może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany obraz savevm, związany z negatywną wartością setup_len lub setup_index.

Przepełnienie bufora w funkcji scoop_gpio_handler_update w QEMU przed wersją 1.7.2 może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez dużą wartość (1) prev_level, (2) gpio_level lub (3) gpio_dir w obrazie savevm.

W QEMU przed wersją 1.7.2 występują wielokrotne przepełnienia bufora w funkcji tsc210x_load, które mogą umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane wartości w obrazie savevm.

W QEMU przed wersją 1.7.2 występują wielokrotne przepełnienia bufora w funkcji ssd0323_load, co pozwala zdalnym atakującym na wywołanie odmowy usługi lub potencjalne wykonanie dowolnego kodu poprzez spreparowane wartości.

Funkcja ssi_sd_transfer w pliku hw/sd/ssi-sd.c w QEMU przed wersją 1.7.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowaną wartość arglen w obrazie savevm.

Przepełnienie bufora w hw/intc/openpic.c w QEMU przed wersją 1.7.2 umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu poprzez wektory związane z elementami IRQDest.

Przepełnienie bufora w funkcji pxa2xx_ssp_load w QEMU przed wersją 1.7.2 umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu poprzez spreparowaną wartość s->rx_level w obrazie savevm.

Przepełnienie bufora w pliku target-arm/machine.c w QEMU przed wersją 1.7.2 umożliwia zdalnym atakującym spowodowanie odmowy usługi oraz potencjalne wykonanie dowolnego kodu poprzez negatywną wartość w cpreg_vmstate_array_len w obrazie savevm.

Przepełnienie bufora w pliku hw/ssi/pl022.c w QEMU przed wersją 1.7.2 umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu poprzez spreparowane wartości tx_fifo_head i rx_fifo_head w obrazie savevm.

Przepełnienie bufora w hw/pci/pcie_aer.c w QEMU przed wersją 1.7.2 umożliwia zdalnym atakującym spowodowanie odmowy usługi oraz potencjalne wykonanie dowolnego kodu poprzez dużą wartość log_num w obrazie savevm.

Przepełnienie bufora w pliku hw/timer/hpet.c w QEMU przed wersją 1.7.2 może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez wektory związane z liczbą timerów.

Przepełnienie bufora w pliku hw/ide/ahci.c w QEMU przed wersją 1.7.2 umożliwia zdalnym atakującym spowodowanie odmowy usługi oraz potencjalne wykonanie dowolnego kodu poprzez wektory związane z migracją portów.

Funkcja virtio_load w pliku virtio/virtio.c w QEMU w wersjach 1.x przed 1.7.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany obraz savevm, co prowadzi do zapisu poza przydzielonym obszarem pamięci.

Funkcja virtio_net_load w QEMU w wersjach od 1.5.0 do 1.7.x przed 1.7.2 pozwala zdalnym atakującym na spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu poprzez sytuacje, w których wartość curr_queues jest większa niż max_queues, co prowadzi do zapisu poza przydzielonym obszarem pamięci.

Przepełnienie bufora w funkcji virtio_net_load w pliku net/virtio-net.c w QEMU od wersji 1.3.0 do 1.7.x przed 1.7.2 może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez dużą tabelę MAC.

Błąd off-by-one w funkcji cmd_smart w teście samodzielnym SMART w QEMU przed wersją 2.0 pozwala lokalnym użytkownikom na wywołanie nieokreślonego wpływu poprzez polecenie SMART EXECUTE OFFLINE, które prowadzi do niedoboru bufora i uszkodzenia pamięci.

Podatność w implementacji UEFI w QEMU (lub podobnym oprogramowaniu) prowadzi do przepełnienia sterty (heap overflow) w module sprzętowym (hw/uefi). Atakujący może wykorzystać ten błąd do uzyskania nieautoryzowanego dostępu lub wykonania dowolnego kodu.

W emulacji kontrolera SCSI LSI53C895A w QEMU wykryto podatność use-after-free. Może ona prowadzić do awarii lub ucieczki z maszyny wirtualnej.

W pliku hw/input/ps2.c w Qemu nie są weryfikowane wartości 'rptr' i 'count' podczas migracji gościa, co prowadzi do dostępu poza przydzielonym zakresem pamięci.

Przepełnienie bufora w funkcji 'megasas_mmio_write' w Qemu 2.9.0 umożliwia zdalnym atakującym wywołanie nieokreślonego wpływu poprzez nieznane wektory.

Przepełnienie bufora w funkcji mipsnet_receive w pliku hw/net/mipsnet.c w QEMU, gdy karta sieciowa gościa jest skonfigurowana do akceptacji dużych pakietów, umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria QEMU) lub potencjalne wykonanie dowolnego kodu za pomocą pakietu większego niż 1514 bajtów.

Przepełnienie bufora w funkcji pcnet_receive w QEMU, gdy karta sieciowa gościa ma większy MTU, umożliwia zdalnym atakującym spowodowanie awarii systemu operacyjnego gościa lub wykonanie dowolnego kodu poprzez wysłanie dużego pakietu.

W podsystemie 9pfs QEMU wykryto podatność use-after-free. Warunek wyścigu między wątkiem głównym a wątkiem roboczym podczas przetwarzania równoczesnych żądań Tlcreate i Twalk pozwala złośliwemu użytkownikowi gościa na utworzenie ścieżki fid zawierającej nieaktualne dane sterty, obejście ograniczeń przechodzenia katalogów i wyjście poza granice współdzielonego katalogu. Może to prowadzić do dowolnego odczytu/zapisu plików hosta i wykonania kodu (VM escape) z uprawnieniami użytkownika procesu QEMU.

W QEMU stwierdzono podatność w hypercallu VAPIC setup w pliku hw/i386/vapic.c, która nie sprawdza, czy alias pamięci RAM pozostaje w oknie ROM opcji. Uprzywilejowany gość na maszynie Q35/KVM może umieścić ten alias nad zablokowanym SMRAM, omijając ochronę D_LCK i wstrzykując kod do pamięci SMM.

W QEMU występuje podatność typu mismatch typów w obsłudze migracji vhost inflight. Rozmiar bufora docelowego jest przechowywany jako uint64_t, ale odczytywany jako int32_t, co na systemach little-endian może prowadzić do odczytu poza granicami bufora i awarii procesu QEMU lub uszkodzenia pamięci. Wymaga to kontroli nad producentem migracji lub dostępu do kanału migracji.

W QEMU wykryto podatność umożliwiającą lokalnemu atakującemu w maszynie wirtualnej zapis danych poza przydzieloną pamięcią. Problem występuje, gdy funkcja cpu_physical_memory_map() zwraca krótszy niż oczekiwano rozmiar, co prowadzi do zapisu poza zakresem. Udane wykorzystanie może skutkować nieautoryzowanym dostępem do pamięci gościa lub uszkodzeniem obiektów sterty.

W QEMU wykryto podatność w sterowniku virtio-snd. Funkcja `virtio_snd_pcm_in_cb` nie sprawdza, czy bufor iov jest wystarczająco duży dla danych audio, co może prowadzić do zapisu poza przydzieloną pamięcią sterty. Problem wynika z niepełnej poprawki dla CVE-2024-7730.