【緊急】Qubes OSに重大な脆弱性：ファイルコピー機能経由で任意のコード実行が可能に
Qubes OSのセキュリティチームは、2026年8月28日付でQubes Security Bulletin (QSB) 118を発表し、Dom0コンポーネントにおける重大な脆弱性を警告しました。この脆弱性は、`qvm-copy-to-vm`というファイルコピー機能の「エラー報告バックチャネル」を経由して悪用されるものです。
【概要と影響】
通常、Qubes OSはセキュリティ分離を徹底していますが、本脆弱性により、攻撃者が事前に侵害した「qube」（仮想マシン）から、Dom0（システムの中核管理コンポーネント）に対してファイルコピーを試みる際に、任意のコマンドをDom0に注入することが可能となります。これにより、攻撃者はQubes OS全体を乗っ取る（コントロールを奪う）危険性があります。
【技術的な経緯】
脆弱性は、`qvm-copy-to-vm`が使用する「qfile」プロトコルにおいて、ファイル転送の確認（トランザクション）の一部として、ターゲットqubeからエラー情報とともに「最終受信ファイル名」がDom0に送り返される点にあります。このエラー報告処理の過程で、Dom0のコードが、ターゲットqubeから送られてきたファイル名（攻撃者が制御可能）を処理する際、サニタイズ（無害化）処理が不十分であることが原因です。具体的には、ファイル名に含まれるシェルメタ文字が除去されずに残り、最終的にエラーダイアログを表示するために使用される`system()`関数によって、シェルコマンドとして実行されてしまうためです。
【対応策】
この脆弱性に対処するため、Qubes OSの全バージョンが影響を受けており、ユーザーは速やかにパッチ適用を行う必要があります。Qubes 4.3を使用している場合、`qubes-core-dom0-linux`パッケージをバージョン4.3.22に更新することが推奨されています。ユーザーは、Qubes Updateツールなどを用いて、速やかにセキュリティアップデートを適用することが求められています。
背景
Qubes OSは、セキュリティ分離（Security by Compartmentalization）を基本原則とする仮想化OSであり、各タスクを独立した「qube」に隔離することで、一つのコンポーネントが侵害されても全体への影響を最小限に抑えることを目指しています。本脆弱性は、この厳格な分離構造を持つDom0コンポーネントのファイルコピー機能の処理過程に、外部からの入力（ファイル名）を適切に検証・無害化する仕組みが欠けていた点に起因します。
重要用語解説
- Dom0: Qubes OSの心臓部にあたる、システム全体の管理と制御を行う最も重要なコンポーネント。他のqubeを管理し、システム全体の安定性を保つ役割を担っています。
- qvm-copy-to-vm: Qubes OS内で、Dom0から特定のqubeへファイルをコピーするために使用される機能。本脆弱性は、このファイルコピー機能の「エラー報告」プロセスに存在します。
- 任意のコード実行: セキュリティ上の重大な脆弱性の一つで、攻撃者がシステムが実行するプログラムのフローを乗っ取り、意図しない任意のコマンドやコードをシステム上で実行できてしまう状態を指します。
今後の影響
本脆弱性は、単なる情報漏洩に留まらず、OSのコア機能であるDom0を乗っ取る可能性を秘めており、極めて深刻です。ユーザーは、この脆弱性を突かれる前に、速やかに提供されたパッチ（qubes-core-dom0-linuxの更新）を適用することが必須です。今後の展開としては、Qubes OSのセキュリティチームが、この種の入力検証の欠陥をシステム全体で排除するための設計改善を行うと予想されます。