Kerentanan zero-day pada QEMU-KVM yang memungkinkan terjadinya VM escape telah diungkapkan secara publik pada Konferensi Keamanan Internet ke-8 tahun 2020 (ISC 2020). Kerentanan ini memungkinkan pembacaan dan penulisan di luar batas (out-of-bounds) hingga 0xffffffff (4 GB) memori di luar heap tertentu, sehingga berpotensi menyebabkan VM escape lengkap. Alibaba Cloud telah memperbaiki kerentanan ini.
Informasi kerentanan
Kerentanan zero-day pada QEMU-KVM pertama kali diungkapkan dalam Tianfu Cup International Cybersecurity Contest pada 17 November 2019, lalu dipublikasikan secara resmi pada Konferensi Keamanan Internet ke-8 tahun 2020 (ISC 2020) pada 13 Agustus 2020. Kerentanan ini memungkinkan pembacaan dan penulisan di luar batas (out-of-bounds) hingga 0xffffffff (4 GB) memori di luar heap tertentu. Penyerang dapat mengeksploitasi kerentanan ini untuk mencapai VM escape lengkap, mengeksekusi kode arbitrer pada host, serta berpotensi menyebabkan kebocoran informasi serius. Hingga penerbitan pengumuman ini, QEMU belum merilis patch resmi.
Resolusi
Alibaba Cloud telah memperbaiki kerentanan ini pada Desember 2019. Pelanggan tidak perlu melakukan tindakan apa pun.
Penerbit
Alibaba Cloud Computing Co., Ltd.