【安全公告】腾讯 Blade Team 发现云虚拟化平台 QEMU-KVM 逃逸漏洞

近期，腾讯 Blade Team 团队在针对云上虚拟化安全研究中，发现了主流虚拟化平台 QEMU-KVM 的严重漏洞，攻击者利用该漏洞在一定条件下可通过子机使母机崩溃，导致拒绝服务，甚至完全控制母机和母机上其他商户虚拟机。

漏洞描述：

虚拟化平台 QEMU-KVM 的 vhost 内核模块存在一个缓冲区溢出漏洞，可在虚拟机热迁移场景下触发。攻击者可通过漏洞实现虚拟机逃逸攻击，操纵子机使母机内核崩溃或在物理机内核中执行恶意代码，进而完全控制母机，进而影响服务器上所有商户的业务。

漏洞评级：

CVE-2019-14835 高危

应对措施：

青云QingCloud 安全监控中心在获悉该漏洞详情后，第一时间进行热补丁修复。因此用户不受该漏洞影响，请放心使用。

青云志