CVE-2024-8612
MediumSummary
W QEMU znaleziono lukę w urządzeniach virtio-scsi, virtio-blk i virtio-crypto. Rozmiar ustawiony dla funkcji virtqueue_push w virtio_scsi_complete_req, virtio_blk_req_complete oraz virtio_crypto_req_complete może być większy niż rzeczywisty rozmiar danych wysłanych do gościa.
Risk Assessment
Luka ta może prowadzić do nieprawidłowego przetwarzania danych, co stwarza ryzyko wycieku informacji lub awarii systemu. Organizacje korzystające z tych urządzeń mogą być narażone na ataki wykorzystujące tę podatność.
Recommendation
Zaleca się aktualizację QEMU do najnowszej wersji, w której ta luka została załatana. Należy również monitorować systemy pod kątem nieautoryzowanego dostępu.
Original NVD description (English source)
A flaw was found in QEMU, in the virtio-scsi, virtio-blk, and virtio-crypto devices. The size for virtqueue_push as set in virtio_scsi_complete_req / virtio_blk_req_complete / virito_crypto_req_complete could be larger than the true size of the data which has been sent to guest. Once virtqueue_push(