CVE-2023-3750

Wersja 2.3.0 i nowsze libvirt są podatne na niewłaściwą domyślną konfigurację 'verify-peer=no', co skutkuje brakiem walidacji certyfikatów SSL/TLS przez QEMU.

W wersjach libvirt przed 2.0.0 nieprawidłowo wyłączane jest sprawdzanie hasła, gdy hasło na serwerze VNC jest ustawione na pusty ciąg. Umożliwia to zdalnym atakującym ominięcie uwierzytelniania i nawiązanie sesji VNC poprzez połączenie z serwerem.

W funkcji qemuTPMEmulatorPrepareHost() biblioteki libvirt wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi. Funkcja używa chown() opartego na ścieżce do pliku dziennika swtpm bez sprawdzania, czy nie jest to dowiązanie symboliczne. Lokalny atakujący z dostępem do konta swtpm może zastąpić plik dziennika dowiązaniem symbolicznym, powodując, że libvirtd (działający jako root) zmieni właściciela dowolnego pliku na użytkownika swtpm.

W libvirt wykryto podatność polegającą na przepełnieniu liczby całkowitej w obsłudze RPC NodeGetFreePages. Nieuprzywilejowany użytkownik lokalny może wykorzystać tę podatność, aby ominąć kontrolę rozmiaru, co prowadzi do zbyt małego bufora pamięci. Następnie dane NUMA mogą nadpisać ten bufor, powodując przepełnienie sterty, co może uszkodzić pamięć głównego demona libvirt i prowadzić do DoS lub lokalnej eskalacji uprawnień.

W bibliotece libvirt znaleziono podatność polegającą na podążaniu za dowiązaniami symbolicznymi w funkcji virFileChownFiles(). Lokalny atakujący działający jako użytkownik swtpm może utworzyć dowiązanie symboliczne w katalogu stanu swtpm, co pozwala daemonowi libvirt (działającemu z uprawnieniami roota) na zmianę właściciela dowolnego pliku na użytkownika swtpm.

W libvirt podczas klonowania lub konwersji woluminów magazynu, nowo utworzone obrazy woluminów były tymczasowo światłoczytelne. Było to spowodowane przez narzędzie qemu-img działające z nadmiernie permisywnymi ustawieniami tworzenia plików, co pozwalało każdemu lokalnemu użytkownikowi na odczyt pełnej zawartości dysku gościa. Podatność może prowadzić do ujawnienia wrażliwych informacji z maszyn wirtualnych.

W sterowniku sieci wirtualnych libvirt wykryto podatność na wstrzykiwanie. Parser XML sieci nie usuwa znaków nowej linii z wartości atrybutów rekordów DNS TXT oraz domen/atrybutów SRV. Te wartości są zapisywane bezpośrednio do pliku konfiguracyjnego dnsmasq, co pozwala użytkownikowi z uprawnieniami do definiowania sieci wirtualnych na wstrzyknięcie dowolnych dyrektyw dnsmasq, takich jak dhcp-script, prowadząc do wykonania dowolnych poleceń jako root.

W bibliotece libvirt wykryto podatność, w której zewnętrzne nieaktywne migawki dla wyłączonych maszyn wirtualnych są domyślnie tworzone z uprawnieniami odczytu dla wszystkich użytkowników. Umożliwia to nieuprzywilejowanym użytkownikom przeglądanie zawartości systemu gościa, co prowadzi do ujawnienia informacji.

W bibliotece libvirt odkryto usterkę w przetwarzaniu plików XML. Konkretnie, parsowanie plików XML dostarczonych przez użytkownika było wykonywane przed sprawdzeniem list kontroli dostępu (ACL). Złośliwy użytkownik z ograniczonymi uprawnieniami mógł wykorzystać tę usterkę, przesyłając specjalnie spreparowany plik XML, co powodowało przydzielenie zbyt dużej ilości pamięci na hoście. Nadmierne zużycie pamięci mogło doprowadzić do awarii procesu libvirt na hoście, skutkując odmową usługi (DoS).