CVE-2026-27211: Cloud Hypervisor: Divulgação de Arquivos do Host por Abuso do Cabeçalho de Imagem de Disco

Visão geral

O Cloud Hypervisor é um monitor de máquinas virtuais para cargas de trabalho em nuvem. A CVE-2026-27211 descreve uma divulgação de arquivos do host que afeta discos virtio-block apoiados por imagens raw. Um convidado malicioso pode sobrescrever o cabeçalho do seu disco com uma estrutura QCOW2 forjada que aponta para um caminho sensível do host, e a detecção automática do formato de imagem depois entrega ao convidado o conteúdo desse arquivo.

Impacto

O registro informa que a divulgação é limitada pelos privilégios do processo do Cloud Hypervisor.
Reinicializações da VM iniciadas pelo convidado bastam para disparar uma varredura de disco sem que o processo do hypervisor encerre, então uma única VM pode executar o cenário sem a pilha de gerenciamento.
A exploração exige que a imagem de backing seja gravável pelo convidado ou proveniente de origem não confiável.
A pontuação base na NVD é 10 e na GitHub é 9,1, e a severidade no registro é crítica.

Produtos e versões afetadas

O registro lista como afetadas as versões do Cloud Hypervisor de 34.0 até antes de 50.1. A descrição cita a faixa 34.0 até 50.0.
Implantações que usam apenas imagens confiáveis e somente leitura são descritas como não afetadas.
O problema está corrigido na versão 50.1, conforme as notas de lançamento.

Status de exploração

O registro mostra que a CVE não consta no catálogo de vulnerabilidades exploradas conhecidas da CISA. Nas fontes consultadas não há exploração confirmada. Os dados SSVC do registro indicam exploração como none e automatizável como no. A probabilidade EPSS é 0,00675, com percentil de 0,51664.

Correção e mitigação

Atualize o Cloud Hypervisor para a versão 50.1 ou posterior, seguindo o aviso de segurança.
Enquanto a atualização não for feita, habilite o sandboxing landlock e restrinja os privilégios do processo e o acesso a arquivos, conforme descrito pelo aviso como contorno.
Trate discos graváveis pelo convidado como não confiáveis e prefira imagens somente leitura de fontes confiáveis.
Revise os commits de correção citados no registro da NVD para detalhes técnicos da mudança.

Orientações de detecção

Inventarie as VMs que usam virtio-block com imagens raw e identifique quais discos são graváveis pelo convidado ou vêm de fontes externas.
Monitore alterações inesperadas em cabeçalhos de imagens de disco, especialmente imagens cujos metadados de formato não correspondam ao formato raw esperado.
Observe reinicializações repetidas em VMs sensíveis, pois elas disparam varreduras de disco.
Audite os registros de acesso a arquivos do host pelo processo do hypervisor, quando disponíveis.

Limitações das informações disponíveis

O registro não traz análise detalhada do comportamento da correção, então os commits são citados, mas não analisados aqui.
O identificador CWE é CWE-73, mas o registro não informa o nome correspondente.
Os arquivos específicos do host que poderiam ser expostos dependem dos privilégios do processo, que o registro não descreve.
O registro não informa se outras linhas de lançamento receberam backports.

Perguntas frequentes

Essa vulnerabilidade está sendo explorada ativamente?

O registro indica que a CVE não consta no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada.

Qual versão corrige o problema?

As notas de lançamento e o registro indicam que o problema está corrigido na versão 50.1.

Minha implantação precisa agir?

Se você usa o Cloud Hypervisor de 34.0 até antes de 50.1 com discos raw graváveis pelo convidado ou não confiáveis, priorize a atualização para 50.1 e a restrição dos privilégios do processo.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.