关于QEMU-KVM虚拟机存在内核逃逸漏洞的安全公告

james

安全公告编号:CNTA-2019-0032

一、漏洞情况分析

VHOST/VHOST_NET是QEMU-KVM虚拟化平台中VIRTIO（I/O虚拟化框架）Network的后端实现方案，在Linux内核层面负责处理虚拟机的网络包收发功能。虚拟机中VIRTIO Network前端驱动通过与宿主机内核中的VHOST/VHOST_NET通信，将网络包收发任务交给VHOST/VHOST_NET来处理，实现网络虚拟化。

二、漏洞影响范围

漏洞影响的Linux内核版本如下：

2.6.34版本到5.2.x版本的Linux内核，参考该内核commit引入漏洞 https://github.com/torvalds/linu ... b55045c3f046677f55c

三、漏洞处置建议

1、正式解决方案：

Linux内核主线已于9月15日发布补丁，用户可参照补丁代码进行修复：

https://github.com/torvalds/linux/commit/060423bfdee3f8bc6e2c1bac97de24d5415e2bc4

https://git.kernel.org/pub/scm/linux/kernel/git/mst/vhost.git/commit/?h=for_linus&id=060423bfdee3f8bc6e2c1bac97de24d5415e2bc4

使用Linux发行版本的用户可按照发行版厂商公告来修复该漏洞：

RedHat: https://access.redhat.com/errata/RHSA-2019:2827

https://access.redhat.com/security/vulnerabilities/kernel-vhost

Ubuntu: https://usn.ubuntu.com/4135-2/

Debian: https://www.debian.org/security/2019/dsa-4531

SUSE:https://www.suse.com/security/cve/CVE-2019-14835

2、临时解决方案：

（1）禁用热迁移功能

由于此漏洞只有在虚拟机热迁移过程中才会被触发，可以通过禁用虚拟机热迁移来规避漏洞利用。

验证方法：无法对虚拟机使用热迁移。

（2）禁用内核vhost-net模块

验证方法：modprobe验证virtio_net模块未加载。

（3）RedHat版本缓解措施

https://access.redhat.com/security/cve/cve-2019-14835

附参考链接：

https://blade.tencent.com/achievements/v-ghost/

https://github.com/torvalds/linux/commit/060423bfdee3f8bc6e2c1bac97de24d5415e2bc4

https://git.kernel.org/pub/scm/linux/kernel/git/mst/vhost.git/commit/?h=for_linus&id=060423bfdee3f8bc6e2c1bac97de24d5415e2bc4

https://access.redhat.com/errata/RHSA-2019:2827

https://access.redhat.com/security/vulnerabilities/kernel-vhost

https://access.redhat.com/security/cve/cve-2019-14835

https://usn.ubuntu.com/4135-2/

https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-14835.html

https://www.debian.org/security/2019/dsa-4531

https://security-tracker.debian.org/tracker/CVE-2019-14835

https://www.suse.com/security/cve/CVE-2019-14835