PT-2024-1923 · Qemu+6 · Qemu+6
Publicado
2024-02-14
·
Atualizado
2025-05-07
·
CVE-2024-26328
CVSS v3.1
6.0
Média
| Vetor | AV:L/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do QEMU de 7.1.0 a 8.2.1
Descrição
O problema está relacionado a um estouro de buffer na memória dinâmica do emulador de hardware do QEMU, especificamente na função
register vfs() (hw/pci/pcie sriov.c). Essa função não define NumVFs como PCI SRIOV TOTAL VF, levando a uma interação incorreta com hw/nvme/ctrl.c. A exploração desse problema pode permitir que um invasor cause uma negação de serviço. Houve relatos de atividades maliciosas direcionadas ao QEMU.Recomendações
Para as versões 7.1.0 a 8.2.1 do QEMU, considere desativar a função
register vfs() em hw/pci/pcie sriov.c como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao módulo hw/nvme/ctrl.c para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Memory Corruption
Buffer Overflow
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Linuxmint
Qemu
Red Os
Suse
Ubuntu