#qubesos

Qubes OSが、セキュリティ勧告QSB-118を出しました。対象は、ファイルコピー機能 `qvm-copy-to-vm` のエラー表示まわりにある欠陥で、条件がそろうと dom0 で任意のコマンドを実行されるおそれがあるという話です。Qubes OSは「仮想マシン同士を厳しく隔離する」ことを売りにしているので、中心にある管理領域である dom0 に話が及ぶだけでも重い。しかも今回の欠陥は、コピー失敗時の表示という、ふだん見落としがちな部分に潜んでいました。 Qubes Security Bulletin 118 は、2026-08-28 付の「Dom0 arbitrary code execution in qvm-copy-to-vm error reporting」です。Qubes チームは、`qvm-copy-to-vm` を使って dom0 から悪意ある qube にファイルを送ろうとしたとき、その qube が dom0 に任意のコマンドを注入できると説明しています。利用者が dom0 側からコピー操作を始めた場面で、コピー先の qube がすでに侵害されていると、攻撃者