Qubes セキュリティ Bulletin 118：

qvm-copy-to-vm

のエラー報告機能による Dom0 へのコード実行脆弱性

Qubes OS は、

qvm-copy-to-vm

本記事では、このセキュリティ Bulletin（QSB）の内容を整理し、影響範囲、技術的な詳細、対策手順および PGP 署名の検証方法を解説します。

🔴 ユーザーへの対応

【重要】今すぐ必要なこと

• 特別なアクションは不要です。通常通りシステムを更新を行ってください。
• 以下の「パッチ適用」セクションに記載されているアップデートを適用してください。
• この脆弱性を解消するセキュリティアップデートが公開されています。

📌 概要

脆弱性の説明

• 悪意のある VM（qube）からファイルを受信中にエラーが発生した場合、そのエラー処理プロセスで攻撃者がDom0 を制御できてしまいます。

• qvm-copy-to-vm

  コマンドを使用する際、ターゲット VM がすでに侵害されている状態でファイルをコピーすると、攻撃者は Dom0 に任意のコマンドを実行できます。

影響範囲

• 対象: すべての Qubes OS リリース。
• 被害: 攻められた VM からのファイル転送要求に対し、攻撃者が Dom0 を乗っ取って Qubes OS 全体の制御権を奪うことが可能です。

⚙️ 技術的な詳細

1. 脆弱性のメカニズム

qvm-copy-to-vm

問題点：不正な入力フィルタリングの不完全さ

• 整形化（Sanitization）の不備:

  sanitize_remote_filename()

  関数は、非 ASCII 文字やダブルクォート記号 (

  "

  ) のみを除去しています。 しかし、シェルのメタ文字（特殊文字）はそのまま残っています。

  // linux-utils/qrexec-lib/pack.c
  static void sanitize_remote_filename(char *untrusted_filename) {
      for (; *untrusted_filename; ++untrusted_filename) {
          if (*untrusted_filename < ' ' ||
              *untrusted_filename > '~' ||
              *untrusted_filename == '"')
              *untrusted_filename = '_';
      }
  }
  

• シェルインジェクション: エラー報告関数

  call_error_handler()

  が Dom0 で表示ダイアログを生成するために

  system()

  を使用しています。

  // core-admin-linux/file-copy-vm/qfile-dom0-agent.c
  void display_error(const char *fmt, va_list args) {
      ...
      // エラーメッセージを構築
      asprintf(&dialog_cmd, "%s '%s: %s (error type: %s)'", ...) < 0) { ... }
      
      // ⚠️ シェル経由でコマンドを実行（脆弱性）
      system(dialog_cmd); 
  }
  

• 結果: 攻撃者が制御可能なファイル名を介して、シェルインジェクション攻撃が成功し、Dom0 に任意のコマンドが実行されます。

2. なぜ VM 版は影響を受けないのか？

VM 内部のエラー処理関数は、外部コマンドを実行する

system()

安全な実装例（VM 版）

• execlp や zenity/kdialog の直接呼び出しを使用するため、シェルパス分割やメタ文字の解釈が防ぎます。

// core-agent-linux/qubes-rpc/gui-fatal.c (影響なし)
static void produce_message(...) {
    if (progress_type && !strcmp(progress_type, "gui")) {
        switch (fork()) {
            case -1: exit(1);
            case 0:
                // setuid で権限降格を試みる
                fix_display();
                
                // ⚠️ シェル（system）を使わず、直接実行
                execlp("/usr/bin/zenity", "zenity", "--error", "--text", dialog_msg, NULL);
                execlp("/usr/bin/kdialog", "kdialog", "--sorry", dialog_msg, NULL);
                exit(1);
        }
    }
}

🔧 パッチ適用

脆弱性を解消するには、以下のパッケージを更新してください。

対象バージョン

• Qubes OS: 4.3
• パッケージ:

  qubes-core-dom0-linux

• 最小バージョン: 4.3.22

更新手順

1. コミュニティテスト期間を経て、このパッケージが安定版リポジトリに移行します。
2. Qubes Update ツールまたはコマンドラインを使用し、通常通りアップデートを適用してください。

   # 例：コマンドラインでの更新（環境により異なります）
   sudo qubes-dom0-update
   

📜 PGP 署名の検証方法

Qubes セキュリティ Bulletin（QSB）の信頼性を保証するため、必ず PGP 署名を検証してください。偽造されたBulletinに従うと、システムへの悪意のある変更が行われる可能性があります。

検証手順

以下のコマンドは

git

gpg

1. Qubes Master Signing Key (QMSK) の取得と認証

まず、信頼できる公開鍵を取得し、オフバンド（別のチャネル）でフィンガープリントを確認して認証してください。

$ gpg --fetch-keys https://keys.qubes-os.org/keys/qubes-master-signing-key.asc

2. キーの信頼レベルを設定

取得したキーを「究極」の信頼（ultimate trust, Level 5）に設定します。

$ gpg --edit-key <KEY_FINGERPRINT>
gpg> trust
gpg> Your decision? 5
gpg> Do you really want to set this key to ultimate trust? (y/N) y
gpg> q

3. リポジトリのクローンと検証（推奨）

qubes-secpack

# リポジトリをクローン
$ git clone https://github.com/QubesOS/qubes-secpack.git

# 同梱されている PGP キーをインポート
$ gpg --import qubes-secpack/keys/*/*

# Git タグの署名を検証（例：qsb-118）
$ cd qubes-secpack/
$ git tag -v `git describe`

4. QSB ファイルの直接検証

Bulletin テキストファイルと署名ファイルを指定して検証します。

今回の対象となるコマンドは以下の通りです：

# Marek Marczykowski-Górecki の署名を検証
$ gpg --verify qsb-118-2026.txt.sig.marmarek qsb-118-2026.txt

# Simon Gaiser (HW42) の署名を検証
$ gpg --verify qsb-118-2026.txt.sig.simon qsb-118-2026.txt

確認すべき出力: 各コマンドの最終行に、以下のようなメッセージが表示されることを確認してください。

gpg: Good signature from "..."

これにより、Bulletin が Qubes セキュリティチームによって本物であることを証明されます。