🟠 CVE-2026-12080: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-12080 beschreibt eine lokale Privilege-Escalation-Schwachstelle im QEMU Guest Agent (qga). Die Anfälligkeit existiert im Handler der Funktion guest-ssh-add-authorized-keys und ermöglicht es einem unprivilegierten lokalen Benutzer, durch Manipulation von Symbolic Links Dateien und Verzeichnisse im Besitz des Root-Benutzers zu übernehmen. Der Schweregrad wird mit High (CVSS 7.3) bewertet.

Betroffene Systeme

Die Anfälligkeit betrifft Systeme mit aktiviertem QEMU Guest Agent. Dies umfasst virtuelle Maschinen unter verschiedenen Linux-Distributionen, die durch Hypervisoren wie KVM/libvirt ausgeführt werden. Besonders betroffen sind Umgebungen, in denen libvirt oder ähnliche Management-Schichten für die Verwaltung des Gastagenten verwendet werden.

Technische Details

Der Angriffsvektor basiert auf zwei primären Angriffsmethoden:

• Directory-Symlink Bypass: Ein Angreifer erstellt gezielt platzierte Symbolic Links in Verzeichnisstrukturen, die vom guest-ssh-add-authorized-keys-Handler verarbeitet werden.
• TOCTOU-Race-Condition: Eine Time-of-Check zu Time-of-Use Schwachstelle ermöglicht es, Dateien zwischen der Validierung und dem tatsächlichen Zugriff zu manipulieren.

Die Ausbeutung erfordert, dass eine externe Management-Schicht (typischerweise libvirt) die betroffene Code-Pfad triggert. Ein erfolgreicher Angriff führt zur vollständigen Übernahme von Root-Rechten durch den lokalen Angreifer.

Empfohlene Massnahmen

• Beschränken Sie den Zugriff auf den QEMU Guest Agent auf vertrauenswürdige Benutzer und Prozesse
• Implementieren Sie strikte Datei- und Verzeichnis-Berechtigungen für SSH-Keys und zugehörige Pfade
• Deaktivieren Sie nicht erforderliche Guest-Agent-Funktionen, insbesondere guest-ssh-add-authorized-keys
• Warten Sie auf verfügbare Sicherheits-Patches von Ihrem Distributionsanbieter
• Überwachen Sie Systeme auf verdächtige Symbolic-Link-Manipulationen und TOCTOU-Muster

Bewertung

Die Schwachstelle stellt ein erhebliches Risiko dar, da lokale Benutzer Root-Zugriff erlangen können. Der fehlende Patch erhöht die Dringlichkeit präventiver Massnahmen. Priorität sollte auf der Isolierung betroffener Systeme und proaktiven Schutzmaßnahmen liegen.

„`