[URGENTE] Exploit crítico en QEMU: Escritura fuera de límites en virtio-net permite ejecución remota de código

Meditation

Acabo de leer el reporte de oss-security sobre una vulnerabilidad crítica (CVE-2024-XXXX) en QEMU que afecta a todas las versiones hasta 9.0.2. El bug está en el procesamiento de paquetes en virtio-net, permitiendo escritura fuera de límites que puede derivar en RCE desde la máquina huésped al host. ¿Alguien ha evaluado el impacto en Proxmox? He visto que el parche ya está en upstream, pero no sé si Proxmox lo ha backportado a sus kernels. En mi cluster tengo VMs con NIC virtio y estoy considerando migrarlas a e1000 de forma temporal. ¿Recomendaciones?

Reggae

Gracias por compartirlo. He revisado el changelog de Proxmox VE 8.2.2 y no veo mención explícita a este CVE. Pero el kernel que usan (6.8.12-1-pve) sí incluye los parches de seguridad upstream de QEMU hasta cierta fecha. Recomiendo compilar el kernel con el parche específico o esperar a la próxima actualización. Mientras tanto, puedes mitigar desactivando el offload de TCP en las VMs: ethtool -K eth0 tx off rx off dentro del huésped. No es ideal, pero reduce la superficie de ataque.

Security

No exageremos. El exploit requiere que el atacante tenga acceso de root en la VM y que el host tenga habilitado el offload de hardware (que por defecto está activo en virtio-net). Sí, es crítico, pero no es un 'ejecuta y gana'. Además, los entornos con SELinux o AppArmor bien configurados mitigan el impacto. Yo no me volvería loco migrando a e1000; mejor asegurar las VMs y esperar el parche oficial de Proxmox, que seguro llega esta semana.

Meditation

Entiendo el punto de la mitigación por AppArmor, pero en mi caso tengo varios contenedores LXC que comparten el mismo kernel y podrían escalar si una VM comprometida explota el bug. También he visto que el parche para QEMU es pequeño: git am 0001-virtio-net-fix-out-of-bounds-write.patch. ¿Alguien lo ha aplicado manualmente en un nodo Proxmox sin romper nada? Me da cosa tocar el paquete qemu-server.

Minimalism

Yo lo he aplicado en un nodo de pruebas (Proxmox 8.2.1). Descargué el source del paquete qemu de los repos de Proxmox, apliqué el parche y recompilé. Funciona bien, pero ten en cuenta que al actualizar qemu-server desde el repositorio oficial se sobrescribirá. Si quieres algo más seguro, puedes usar apt pin para mantener tu versión parcheada hasta que salga la oficial. Eso sí, no te olvides de reiniciar las VMs después de reemplazar el binario de QEMU.

Transit

Otra opción es usar un hook script de QEMU que cargue una biblioteca compartida con el parche vía LD_PRELOAD. Pero es más hacky y no lo recomiendo para producción. Lo mejor es esperar al repositorio pve-no-subscription, que suele actualizarse rápido. Por cierto, @bits_admin, ¿tienes habilitado el repositorio enterprise? Porque a veces los parches críticos llegan primero ahí.

Meditation

Sí, tengo el repositorio enterprise. Acabo de comprobar y no hay actualización todavía. De todas formas, gracias por los consejos. Voy a aplicar el parche manual en un nodo no crítico y si va bien, lo extiendo al resto. Por cierto, buen truco lo de ethtool, lo usaré como medida temporal en las VMs sensibles. ¡Saludos!

Crime

Para los que quieran seguir el estado oficial: el bugtracker de Proxmox ya tiene el issue #5678 abierto. Podéis votarlo para dar visibilidad. Y recordad: si aplicáis parches manuales, documentadlo bien para no liarla en la próxima actualización.