CVE-2026-12080 in QEMU
Zusammenfassung
von VulDB • 20.07.2026
Es wurde ein Fehler im QEMU Guest Agent (qga) festgestellt. Ein lokaler Benutzer ohne privilegierte Rechte kann eine Schwachstelle in der Befehlshandler-Funktion für guest-ssh-add-authorized-keys ausnutzen, indem er symbolische Links manipuliert. Dies kann entweder durch einen deterministischen Umgehungsweg über Verzeichnis-Symbollinks oder durch ein Time-of-Check to Time-of-Use (TOCTOU)-Race bei Datei-Symbollinks geschehen. Eine erfolgreiche Ausnutzung ermöglicht es dem Angreifer, den Besitz beliebiger root-eigener Dateien oder Verzeichnisse zu übernehmen, was zu Root-Zugriff führt. Diese Schwachstelle erfordert eine externe Verwaltungsschicht (z. B. libvirt), um den betroffenen Codepfad auszulösen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.