QEMU新虚拟机逃逸漏洞深入分析

        QEMU是由法布里斯•贝拉(Fabrice Bellard)所编写的以GPL许可证分发源码的模拟处理器。它可以模拟多款不同架构的CPU，还包含部分硬件模拟，包括软驱、显卡、并口、串口、声卡、网卡等，以提供基本的操作系统运行所需环境。其中QEMU所模拟的网卡种类较多，包括pcnet、ne2000、rtl8139、e1000等。
        北京时间2015年11月30日14时，QEMU官方公开了两个由安全研究员刘令(Ling Liu)独立发现并报告的缓冲区溢出漏洞，通用漏洞编号分别为CNNVD-201511-435和CNNVD-201511-436，两个漏洞均存在于QEMU所虚拟实现的AMD PC-Net II网卡组件。两个漏洞经过QEMU官方安全团队评估后确认可以造成“宿主机任意执行代码”。
         本次公开的两个漏洞就存在于模拟pcnet网卡设备的代码中(源码路径：hw/net/pcnet.c)。受这两个漏洞影响的软件/项目包括使用pcnet组件的QEMU、Xen、QEMU-KVM等。
        CNNVD-201511-435 漏洞分析
        今年10月，安全研究员刘令(Ling Liu)向QEMU的安全团队提交了pcnet网卡模拟组件中的一个缓冲区溢出漏洞，经过确认后漏洞编号为CNNVD-201511-435。该漏洞具备如下特性：
        1. 该漏洞可通过虚拟机发包直接触发，攻击构造条件难度中等;
        2. 利用该漏洞可以直接控制CPU的指令指针寄存器(Intel X86体系为EIP或RIP)，在未开启地址随机功能的宿主机系统上可以执行任意代码(即“虚拟机逃逸”);
        3. 配合特定反随机化技巧/漏洞攻击者可以在开启地址随机化保护功能的宿主操作系统上实现任意代码执行
        漏洞发生在pcnet网卡使用loopback/looptest模式接收数据时，会在接收到的数据尾部增加一个CRC校验码(长度4个字节)，当发送包的大小刚好符合接收包设定的最大缓冲区大小(4096字节)时。在intel X86-64体系下附加的CRC校验码会覆盖掉所在的PCNetStae_st结构体后面的中断处理指针irq中的后4个字节，攻击者可以构造特定的CRC校验码来实现进一步的攻击利用。
         实际的漏洞数据大流程在pcnet的传输处理函数pcnet_transmit()中，该函数会从物理内存中载入将要发送的数据包的描述信息到一个被命名为tmd的结构体中(struct pcnet_TMD)，再按照tmd.length的长度从物理内存中载入将要发送的数据包到PCNetStae_st结构体的buffer[4096]中。

pcnet中虚拟机发送的数据包的长度bcnt最大值为4096，刚好与buffer的大小一致。

通常情况下，发送4096字节长度的数据包不会发生溢出，但是pcnet支持looptest模式。当网卡中的CSR_LOOP被置位于looptest模式时，pcnet_transmit会调用pcnet_receive把要发送的数据包当作网卡接收到的数据包进行处理。

当网卡处于looptest模式时，pcnet_receive()函数会计算所收到的数据包的CRC值，并把CRC附加在数据包的后面，当数据包的长度为4096时，附加的4字节CRC值便会写在buffer[4096]的外面，产生了缓冲区溢出。

溢出的4字节则会覆盖掉IRQState结构的指针，指向虚假的IRQState结构

在下一次qemu_set_irq()被调用时，便可控制EIP/RIP，改变程序的执行流程。

攻击内存布局大致如下：

CNNVD-201511-436漏洞分析
        今年9月，安全研究员刘令(Ling Liu)向QEMU的安全团队提交了pcnet网卡模拟组件中的一个缓冲区溢出漏洞，经过确认后漏洞编号为CNNVD-201511-436。该漏洞具备如下特性：
        1. 该漏洞在虚拟机收到数据包时直接触发，攻击构造条件难度中低；
        2. 虚拟机所处环境需确保pcnet网卡能够接收到QEMU传递过来的大于4096长度的数据包。
        3. 利用该漏洞可以直接控制CPU的指令指针寄存器(Intel X86体系为EIP或RIP)，在未开启地址随机功能的宿主机系统上可以执行任意代码(即“虚拟机逃逸”)；
        4. 配合特定反随机化技巧/漏洞攻击者可以在开启地址随机化保护功能的宿主操作系统上实现任意代码执行。
        在配置了pcnet网卡的虚拟机启动时，pcnet_common_init会将pcnet_receive注册为该网卡收到数据包时的处理函数。当网卡收到数据包时，qemu_deliver_packet()会调用pcnet_receive，并传入数据包所在地址和大小。在网卡不为looptest模式时，pcnet_receive直接将数据包复制到PCNetState结构体的buffer[4096]中。

然而当网卡收到的数据包的长度大于4096时，超出的数据便会覆盖PCNetState结构中的irq、phys_mem_read、dma_opaque等。

攻击内存布局大致如下：

        由于系统中MTU的限制，通常的数据包长度不会达到4096以上。那么至少在以下两种情况下可以触发此漏洞：配置pcnet的guest使用tap方式启动，该tap在host端的MTU要大于4096，则可由host发送大数据包即可触发漏洞；guest启动时配有pcnet、e1000双网卡且处于同一vlan中，guest中e1000网卡的MTU要大于4096，则在guest中，通过e1000发送大数据包即可触发漏洞。
        QEMU官方已经针对受以上两个漏洞影响的版本给出了补丁，请使用pcnet模块的QEMU-KVM或Xen平台用户，尽快选择对应的补丁进行安全升级。