リモートホストにインストールされている qemu のバージョンは、3.1.0-8より前のものです。したがって、ALAS2-2026-3866 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    QEMUのVNCサーバー実装(ui/vnc.c)では、set_pixel_format()関数がクライアントのSetPixelFormatメッセージからのred_max、green_max、blue_maxフィールドを適切に検証しません。これらのフィールドは 16 ビット値として受信されますが、内部では uint8_t として保存されます。悪意のある VNC クライアントは、255 を超える最大値(例:0x0100)を送信することができます。これは既存のゼロ以外の検証チェックを通過しますが、割り当て時に警告なしに 0 に切り捨て、Tight PNG パレットのエンコーディングパスでゼロ除算につながります。これにより、リモートの攻撃者が QEMU プロセスをクラッシュさせ、その QEMU インスタンスが提供するすべてのゲストのサービス拒否を引き起こす可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-15578)

    QEMUのUSBリダイレクト(usbredir)実装では、hw/usb/redirect.cのusbredir_buffered_bulk_packet()関数にメモリ解放後使用(Use After Free)の脆弱性があります。max-packet-size チャンクに分割されたマルチフラグメントバッファバルクパケットを処理する際に、最後のフラグメントだけが共有パーサーメモリ割り当てを所有します(free_on_destroy を介して)。bufp_alloc() がキューオーバーフローにより最終的なフラグメントを破棄した場合、すでにキューイングされている以前のフラグメントが内部ポインターを依然として保持している間に、バッキングバッファが解放されます。
    その後、後続のゲストバルクイントランスファルスは、解放されたヒープメモリから読み取ります。悪意のある、または危険にさらされている USB デバイス(または細工された usbredir ストリーム)がこの状態を発生させ、ヒープメモリからの情報漏洩または QEMU プロセスのクラッシュ(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v1.4.0-rc0以降存在し、v11.0.3とv10.0.12で修正されました。(CVE-2026-15705)

    ワーカースレッドで非可逆矩形を追跡するときの境界条件の不適切な計算により、さらなるワーカー状態を破損させたり、VncWorker構造体の向こうにある可能性のあるガードページをトリガーしたりする可能性があるOOB書き込みが発生します。これは、権限のないユーザーがゲストOSで画面解像度を慎重に選択したことによりトリガーされる可能性があります。(CVE-2026-48002)

    vnc_update_freq のループ境界が正しくないと、VNC stats 配列の最後の行と最後の列を超えて反復処理が行われます。適切に選択されたディメンションでは、これは、stats 配列が埋め込まれている VncDisplay 構造を超えてメモリにアクセスする OOB 読み取りになる可能性があります。

    これがガードページにヒットすると、ゲストクラッシュが発生する可能性があります。そうでない場合、VNC 周波数統計はガベージで更新されます。(CVE-2026-48003)

    QEMUのVNCサーバー実装(ui/vnc.c)では、非可逆タイルリフレッシュ中にダーティなビットマップ行をマークするとき、vnc_refresh_lossy_rect()関数に領域外書き込みの脆弱性があります。この関数は、各タイルのダーティビットマップのフル VNC_STAT_RECT (64) 行を無条件にマークします。表示の高さが 64 ピクセルの倍数でない場合、最後のタイル行は部分的なタイルであり、ループは vs->dirty[VNC_MAX_HEIGHT] 配列の終端を超えて書き込みます。たとえば、高さ 2160 ピクセルのディスプレイの場合、最後の stat タイルは y=2112 から始まり、64 行のループは 2112-2175行を書き込み、ダーティ ビットマップを超えて 16 行 (640 バイト) をオーバーフローして後続の VncState フィールドに書き込みます。このヒープバッファオーバーフローは、特定の表示解像度をネゴシエートして QEMU プロセスメモリを破損する悪意のある VNC クライアントによって悪用される可能性があり、サービス拒否や任意のコードの実行につながる可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。
    (CVE-2026-61475)

    QEMUのUSBリダイレクト(usbredir)実装(hw/usb/redirect.c)では、悪意のあるusbredirピアが、一括受信がすでに開始された後にmax_packet_sizeを0にリセットするep_infoメッセージを送信する可能性があります。これにより、複数の悪用可能な状態が発生します:(1)分割ループが(0)max_packet_sizeずつ増加して決して進行しないusbredir_buffered_bulk_packet()の無限ループ、(2)ゼロ除算によるusbredir_buffered_bulk_in_complete_ftdi()のSIGFPE(浮動小数点例外)、(3)bytes_per_transfer計算時のゼロ除算からのusbredir_handle_buffered_bulk_in_data()のSIGFPE。悪意のある USB リダイレクトピアがこれを悪用して、QEMU プロセスをクラッシュさせたり(サービス拒否)、無期限にハングさせたりする可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-63319)

    QEMU の 9pfs(virtio-9p)実装では、TXATTRCREATE および TXATTRWALK リクエストハンドラーが、同時に開かれる xattr FID の数を制限しません。各 xattr FID は、拡張された属性値に対してホストメモリバッファを割り当てます。直接 9p サーバーにアクセスできる悪意のある特権ゲストユーザーがこれを悪用し、xattr FID を閉じずに繰り返し作成することで、際限のないホストメモリ消費と、最終的にホストメモリの枯渇(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v0.14.0-rc0以降存在していました。v11.0.3およびv10.0.12で修正されました。(CVE-2026-8348)

    ハイパーバイザーホスト環境(QEMUなど)上のv4.9.2より前のlibslirpバージョン freedesktop.org TCP緊急データ処理(sosendoob)の領域外ヒープ読み取りと整数アンダーフローにより、権限のあるゲストVM攻撃者(rootまたはCAP_NET_RAW)が、操作されたURGフラグと緊急ポインターを使用して細工されたTCPセグメントを送信することにより、数ギガバイトの機密ホストプロセスヒープメモリを漏えいする可能性があります(ti_urp)。(CVE-2026-9539)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - QEMU の VNC サーバーの実装(ui/vnc.c)で、set_pixel_format() 関数がクライアントの SetPixelFormat メッセージからの red_max、green_max、blue_max フィールドを適切に検証していません。これらのフィールドは 16 ビット値として受信されますが、内部では uint8_t として保存されます。悪意のある VNC クライアントは、255 を超える最大値(例:0x0100)を送信することができます。これは既存のゼロ以外の検証チェックを通過しますが、割り当て時に警告なしに 0 に切り捨て、Tight PNG パレットのエンコーディングパスでゼロ除算につながります。これにより、リモートの攻撃者が QEMU プロセスをクラッシュさせ、その QEMU インスタンスが提供するすべてのゲストのサービス拒否を引き起こす可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-15578)QEMUのUSBリダイレクト(usbredir)実装では、hw/usb/redirect.cのusbredir_buffered_bulk_packet()関数にメモリ解放後使用(Use After Free)の脆弱性があります。max-packet-size チャンクに分割されたマルチフラグメントバッファバルクパケットを処理する際に、最後のフラグメントだけが共有パーサーメモリ割り当てを所有します(free_on_destroy を介して)。bufp_alloc() がキューオーバーフローにより最終的なフラグメントを破棄した場合、すでにキューイングされている以前のフラグメントが内部ポインターを依然として保持している間に、バッキングバッファが解放されます。その後、後続のゲストバルクイントランスファルスは、解放されたヒープメモリから読み取ります。悪意のある、または危険にさらされている USB デバイス(または細工された usbredir ストリーム)がこの状態を発生させ、ヒープメモリからの情報漏洩または QEMU プロセスのクラッシュ(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v1.4.0-rc0以降存在し、v11.0.3とv10.0.12で修正されました。(CVE-2026-15705)ワーカースレッドで非可逆矩形を追跡するときの境界条件の不適切な計算により、さらなるワーカー状態を破損させたり、VncWorker構造体の向こうにある可能性のあるガードページをトリガーしたりする可能性があるOOB書き込みが発生します。これは、権限のないユーザーがゲストOSで画面解像度を慎重に選択したことによりトリガーされる可能性があります。(CVE-2026-48002) vnc_update_freq のループバインドが正しくないと、VNC stats 配列の最後の行と最後の列を超えて反復処理が行われます。
    適切に選択されたディメンションでは、これは、stats 配列が埋め込まれている VncDisplay 構造を超えてメモリにアクセスする OOB 読み取りになる可能性があります。これがガードページにヒットすると、ゲストクラッシュが発生する可能性があります。そうでない場合、VNC 周波数統計はガベージで更新されます。(CVE-2026-48003)QEMUのVNCサーバー実装(ui/vnc.c)では、非可逆タイルリフレッシュ中にダーティビットマップ行をマークするとき、vnc_refresh_lossy_rect()関数に領域外書き込みの脆弱性があります。この関数は、各タイルのダーティビットマップのフル VNC_STAT_RECT (64) 行を無条件にマークします。表示の高さが 64 ピクセルの倍数でない場合、最後のタイル行は部分的なタイルであり、ループは vs->dirty[VNC_MAX_HEIGHT] 配列の終端を超えて書き込みます。たとえば、高さ 2160 ピクセルのディスプレイの場合、最後の stat タイルは y=2112 から始まり、64 行のループは 2112-2175行を書き込み、ダーティ ビットマップを超えて 16 行 (640 バイト) をオーバーフローして後続の VncState フィールドに書き込みます。このヒープバッファオーバーフローは、特定の表示解像度をネゴシエートして QEMU プロセスメモリを破損する悪意のある VNC クライアントによって悪用される可能性があり、サービス拒否や任意のコードの実行につながる可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-61475)QEMUのUSBリダイレクト(usbredir)実装(hw/usb/redirect.c)では、悪意のあるusbredirピアが一括受信がすでに開始された後にmax_packet_sizeを0にリセットするep_infoメッセージを送信する可能性があります。これにより、複数の悪用可能な状態が発生します:(1)分割ループが(0)max_packet_sizeずつ増加して決して進行しないusbredir_buffered_bulk_packet()の無限ループ、(2)ゼロ除算によるusbredir_buffered_bulk_in_complete_ftdi()のSIGFPE(浮動小数点例外)、(3)bytes_per_transfer計算時のゼロ除算からのusbredir_handle_buffered_bulk_in_data()のSIGFPE。悪意のある USB リダイレクトピアがこれを悪用して、QEMU プロセスをクラッシュさせたり(サービス拒否)、無期限にハングさせたりする可能性があります。QEMU v11.0.3 および v10.0.12 で修正されました。(CVE-2026-63319) QEMU の 9pfs(virtio-9p)実装では、TXATTRCREATE および TXATTRWALK リクエストハンドラーが、同時に開かれる xattr FID の数を制限しません。各 xattr FID は、拡張された属性値に対してホストメモリバッファを割り当てます。直接 9p サーバーにアクセスできる悪意のある特権ゲストユーザーがこれを悪用し、xattr FID を閉じずに繰り返し作成することで、際限のないホストメモリ消費と、最終的にホストメモリの枯渇(サービス拒否)を引き起こす可能性があります。この脆弱性はQEMU v0.14.0-rc0以降存在していました。v11.0.3およびv10.0.12で修正されました。(CVE-2026-8348)ハイパーバイザーホスト環境(QEMUなど)上のv4.9.2より前のlibslirpバージョンのTCP緊急データ処理(sosendoob)での領域外ヒープ読み取り freedesktop.org 整数アンダーフローにより、権限のあるゲストVM攻撃者(rootまたはCAP_NET_RAW)が、操作されたURGフラグと緊急ポインターを使用して細工されたTCPセグメントを送信することにより、数ギガバイトの機密ホストプロセスヒープメモリを漏えいする可能性があります(ti_urp)。(CVE-2026-9539)(CVE-2026-63319)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
337242	Amazon Linux 2:qemu、 --advisory ALAS2-2026-3866 (ALAS-2026-3866)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/18	medium
330021	Linux Distros のパッチ未適用の脆弱性: CVE-2026-63319	Nessus	Misc.	2026/7/26	2026/9/26	high

検出

プラグインの検索

medium

high