Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

エミュレータ「QEMU」に深刻なRCE脆弱性

プロセッサエミュレータ「QEMU」にリモートよりコードの実行されるおそれがある深刻な脆弱性が指摘されている。

「同4.2.1」および以前のバージョンの「iSCSI Block driver」において域外のメモリへデータを書き込むことが可能となる脆弱性「CVE-2020-1711」が判明した。

米国立標準技術研究所(NIST)では、リモートよりプロセスをクラッシュさせ、コードを実行したり、サービス拒否を生じさせることができるとし、共通脆弱性評価システム「CVSSv3.1」におけるベーススコアを「9.9」、「クリティカル(Critical)」とレーティングしている。

一方Red Hatでは同脆弱性について、攻撃条件が複雑であり、機密性や完全性への影響は低いとして「CVSSv3.0」におけるベーススコアを「7.7」と評価している。

脆弱性を修正するパッチがリリースされているほか、ディストリビューターなどもアップデートをリリースしている。

「QEMU」に関しては、「同4.2.0」が利用するライブラリ「libslirp 4.1.0」に起因するメモリ処理の脆弱性「CVE-2020-7039」や、バッファオーバーフローの「CVE-2020-8608」脆弱性なども2020年に入って明らかとなっている。これら脆弱性もNISTによる「CVSSv3.1」のベーススコアは「9.8」と高い。

(Security NEXT - 2020/03/06 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Firefox 83」公開、HTTPS限定モードを追加 - 脆弱性21件を修正
「ウイルスバスタークラウド」に任意のファイルが削除できる脆弱性
Ciscoのセキュリティ管理製品に深刻な脆弱性 - 修正版にも脆弱性
凶暴性増すランサムウェアの裏側 - 今すぐ確認したい「意外な設定」
「Microsoft Edge」にアップデート - ゼロデイ脆弱性に対処
CPU消費電力から暗号化キー解析できる攻撃「PLATYPUS」が判明
「macOS High Sierra」「Mojave」向けにアップデート - ゼロデイ脆弱性を修正
Apple、「macOS Catalina 10.15.7」など公開 - ゼロデイ脆弱性3件を修正
「Chrome」に2件のゼロデイ脆弱性 - 緊急更新を実施
WP用ユーザー管理プラグインに脆弱性 - サイト管理者権限奪われるおそれ