Qubes OS 發布第118號安全公告：Dom0 任意程式碼執行漏洞於 qvm‑copy‑to‑vm

QSB 118：Dom0 任意程式碼執行漏洞出現在 qvm‑copy‑to‑vm 的錯誤回報機制

Qubes OS 團隊於 2026‑08‑29 發布第 118 號安全公告（QSB 118），指出 Dom0（系統核心管理域）在執行 qvm‑copy‑to‑vm 時的錯誤回報程式碼，可能被惡意輸入觸發任意程式碼執行（Arbitrary Code Execution, ACE）。此漏洞屬於 Dom0 層面的安全缺口，若被利用，攻擊者可在最高權限下執行任意指令，進而取得整個虛擬機的控制權。

---

背景與技術細節

qvm‑copy‑to‑vm 是 Qubes OS 中常用的檔案傳輸指令，負責將檔案從 Dom0 複製至指定的 AppVM。當傳輸過程發生錯誤時，程式會將錯誤資訊回報給 Dom0，但在處理錯誤字串的過程中未正確檢查輸入長度，導致緩衝區溢位（Buffer Overflow）。攻擊者只要構造特製的錯誤訊息，即可在 Dom0 執行自訂的惡意程式碼。

此類漏洞在安全導向的作業系統中尤為危險，因為 Dom0 扮演著管理所有虛擬機的關鍵角色，一旦被入侵，隔離機制將失效，所有 AppVM 的安全保證皆告失效。

---

影響範圍與緊急措施

• 受影響版本：所有自 2025‑12‑01 之後發行、尚未套用最新更新的 Qubes OS 4.x 系列。
• 潛在風險：攻擊者可在本地或遠端取得 Dom0 完全控制權，進一步植入後門或竊取敏感資料。
• 修補方式：Qubes 團隊已於同日釋出安全更新，修正了錯誤回報的字串處理邏輯，建議使用者立即執行 sudo qubes-dom0-update 以套用補丁。

同時，公告附帶了 PGP 簽章（OpenPGP 標準的加密簽名），用以驗證公告的真偽。使用者必須透過 GnuPG（GNU Privacy Guard）驗證 qsb-118-2026.txt 與其 .sig 檔案，並離線比對 Qubes Master Signing Key（QMSK）的指紋，防止偽造公告誘導安裝惡意程式。

---

未來展望與使用者建議

• 持續監控：Qubes OS 將加強對 Dom0 與 AppVM 之間通訊介面的審計，未來的安全公告將更快發布。
• 安全文化：使用者在接收任何安全公告時，都應遵循「離線驗證」流程，切勿直接點擊未驗證的下載連結。
• 防禦深度：建議在生產環境中採用最小權限原則，將不必要的檔案傳輸限制於受信任的 AppVM，降低 Dom0 暴露面。

本次 QSB 118 再次提醒，儘管 Qubes OS 以「安全隔離」聞名，核心層面的程式碼仍需嚴格審查與即時更新。唯有結合開發者的快速修補與使用者的正確驗證流程，才能維持整個平台的防護效能。