CVE-2024-8612
ŚrednieStreszczenie
W QEMU znaleziono lukę w urządzeniach virtio-scsi, virtio-blk i virtio-crypto. Rozmiar ustawiony dla funkcji virtqueue_push w virtio_scsi_complete_req, virtio_blk_req_complete oraz virtio_crypto_req_complete może być większy niż rzeczywisty rozmiar danych wysłanych do gościa.
Ocena ryzyka
Luka ta może prowadzić do nieprawidłowego przetwarzania danych, co stwarza ryzyko wycieku informacji lub awarii systemu. Organizacje korzystające z tych urządzeń mogą być narażone na ataki wykorzystujące tę podatność.
Rekomendacja
Zaleca się aktualizację QEMU do najnowszej wersji, w której ta luka została załatana. Należy również monitorować systemy pod kątem nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in QEMU, in the virtio-scsi, virtio-blk, and virtio-crypto devices. The size for virtqueue_push as set in virtio_scsi_complete_req / virtio_blk_req_complete / virito_crypto_req_complete could be larger than the true size of the data which has been sent to guest. Once virtqueue_push(