安基网 欢乐生肖 资讯 安全报 查看内容

QEMU漏洞曝光,允许黑客执行虚拟机逃逸

2019-8-28 01:06| 投稿: |来自:


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: 据外媒报道,安全研究人员在代码审计时发现流行开源硬件虚拟化软件包QEMU中存在安全漏洞,允许黑客执行“虚拟机逃逸”,突破用户操作系统并攻击QEMU运行的主机操作系统。图片来源于pixabay该漏洞被追踪为CVE-2019-14378,依赖于QEMU中的网络实现。SLIRP网络后端存在缺陷,用于重组数据包的ip_reass()例 ...

据外媒报道,安全研究人员在代码审计时发现流行开源硬件虚拟化软件包QEMU中存在安全漏洞,允许黑客执行“虚拟机逃逸”,突破用户操作系统并攻击QEMU运行的主机操作系统。

该漏洞被追踪为CVE-2019-14378,依赖于QEMU中的网络实现。SLIRP网络后端存在缺陷,用于重组数据包的ip_reass()例程,当第一个片段大于m->时,m_dat []缓冲区。出现分组大于特定连接设置的最大传输单元(MTU)情况时,片段由接收系统重新组装

此外,黑客成功利用此漏洞还需绕过ASLR和PIE,通过在QEMU内部shell脚本的主机上打开GNOME计算器进程,在Linux桌面上运行。据悉,该漏洞可允许黑客执行任意代码,或完全崩溃QEMU流程。

截至目前,该漏洞未被非法利用,研究人员已发布修补程序,并修复了网络块设备连接可能挂起的回归。 但由于应用修复补丁需重启虚拟机,会导致在系统修补时出现停机情况,当一些云托管虚拟机提供商利用QEMU进行虚拟化时,易受该漏洞的攻击



小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://www.toutiao.com/i6729727439276081672/

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

刚表态过的朋友 (1 人)

相关阅读

最新评论

 最新
返回顶部
云南11选5走势图 韩国1.5分彩 福建快3开奖 幸运赛车 极速快3 极速PK拾 极速快乐十分 快乐赛车 快乐赛车官网 秒速时时彩