QubesOS QSB-118：虛擬機錯誤回報反成 Dom0 執行入口
QubesOS QSB-118：虛擬機器錯誤回報反成 Dom0 執行入口
事件事實
Qubes OS 在 2026 年 8 月 28 日發布 QSB-118，披露 qvm-copy-to-vm 的 Dom0 錯誤回報路徑存在任意程式碼執行問題。當使用者從 Dom0 把檔案複製到受感染的 qube，而傳輸回報包含攻擊者控制的檔名時，Dom0 的錯誤對話方塊會把檔名帶入 system()。原有清理函式移除了非 ASCII 字元和引號，卻留下分號、管線等 shell 元字元，因而可能讓惡意 qube 反向注入命令。
研究判讀
這不是一般應用程式直接暴露的遠端漏洞，而是信任邊界內的回傳資料被錯誤當作 shell 指令處理。Qubes 的隔離模型仍能縮小攻擊面：漏洞只出現在由 Dom0 發起的複製流程，qube 內的同名工具使用不同錯誤回報實作。可是，一旦條件成立，影響會直達 Dom0，等同動搖整個隔離架構。Qubes 團隊已提供 qubes-core-dom0-linux 4.3.22，使用者應透過正常更新流程確認版本。
影響與限制
使用 Qubes 的 AI 開發者常把截圖、資料集或產出物從 Dom0 傳往測試 qube，這類便利操作不應被視為無風險。更新前應避免把檔案複製到不受信任的 qube，並核對安全公告的簽章與套件版本。公開資料沒有顯示大規模在野利用，因此本文只確認漏洞條件與修補狀態，不推斷已有實際受害者數量。