Une nouvelle vulnérabilité façon Venom pour Qemu

L’équipe du projet Xen vient de diffuser une alerte émise par celle en charge de la sécurité de Qemu. Dans celle-ci, on apprend qu’une machine virtuelle pouvant accéder à un lecteur de CD-ROM émulé peut provoquer un dépasser de pile et permettre ainsi de quitter l’environnement confiné de la VM pour remonter à son hôte et y executer du code malveillant.

Sans surprise, si Xen est affecté, ce n’est pas le seul. Qemu est largement utilisé. Oracle Linux 7 est ainsi affecté, de même qu’Oracle VM 3.2 et 3.3, mais également Debian, SuSE Linux Enterprise 11 SP4, ou encore Red Hat Enterprise Linux 7. Mais les versions 5 et 6 de cette dernière distribution ne sont pas concernées.

Cette nouvelle vulnérabilité est la troisième de ce type découverte dans Qemu depuis le début de l’année. On se souvient bien sûr de Venom, découvert fin mai par Jason Geffner, chercheur en sécurité chez Crowdstrike, et qui touchait au code utilisé pour l’émulation d’un lecteur de disquette.

Mais une autre a découverte entre temps, affectant le contrôleur PCNET et permettant, là encore, d’échapper au confinement de la machine virtuelle pour prendre le contrôle de l’hôte.