Une vulnérabilité zero-day dans QEMU-KVM permettant une évasion de machine virtuelle (VM) a été rendue publique lors de la 8e conférence Internet Security Conference 2020 (ISC 2020). Cette faille permet des lectures et écritures hors limites pouvant atteindre 0xffffffff (4 Go) de mémoire au-delà d'un tas spécifique, ce qui autorise une évasion complète de la VM. Alibaba Cloud a déjà corrigé cette vulnérabilité.
Informations sur la vulnérabilité
Cette vulnérabilité zero-day affectant QEMU-KVM a été révélée pour la première fois lors du concours international de cybersécurité Tianfu Cup, le 17 novembre 2019. Elle a ensuite été divulguée publiquement lors de la 8e conférence Internet Security Conference 2020 (ISC 2020), le 13 août 2020. La faille permet des lectures et écritures hors limites pouvant atteindre 0xffffffff (4 Go) de mémoire au-delà d'un tas spécifique. Un attaquant peut exploiter cette vulnérabilité pour réaliser une évasion complète de la VM, exécuter du code arbitraire sur l'hôte et potentiellement provoquer une fuite d'informations grave. À la date de cette annonce, QEMU n'a pas publié de correctif officiel.
Résolution
Alibaba Cloud a corrigé cette vulnérabilité en décembre 2019. Aucune action n'est requise de la part des clients.
Éditeur
Alibaba Cloud Computing Co., Ltd.