Virtio-win: virtio-win: अनमैप अनुरोध में अमान्य डिस्क्रिप्टर गणना के माध्यम से सेवा से इनकार (denial of service)

virtio-win में एक सुरक्षा भेद्यता (CVE-2026-5164) की पहचान की गई है, जो Red Hat Enterprise Linux 10 में Windows वर्चुअलाइजेशन के लिए उपयोग किया जाने वाला एक घटक है। इस भेद्यता का CVSS स्कोर 6.7 है, और इसे सेवा से इनकार (DoS) समस्या के रूप में वर्गीकृत किया गया है। RhelDoUnMap() फ़ंक्शन अनमैप अनुरोध के दौरान उपयोगकर्ता द्वारा प्रदान किए गए वर्णनात्मककर्ताओं की संख्या को ठीक से मान्य नहीं करता है। एक स्थानीय उपयोगकर्ता इस इनपुट सत्यापन भेद्यता का फायदा उठाकर अत्यधिक संख्या में वर्णनात्मककर्ताओं को प्रदान कर सकता है, जिससे बफर ओवरफ्लो हो सकता है। यह ओवरफ्लो सिस्टम क्रैश का कारण बन सकता है, जिससे DoS हो सकता है।

Systems utilizing virtualization technologies, particularly those running Virtio-win versions 1.0.0 through 2.5.3, are at risk. This includes environments using KVM, QEMU, or other hypervisors that leverage Virtio-win for Windows guest operating systems. Shared hosting environments where the hypervisor is managed by the provider are also potentially affected.

• linux / server:

journalctl -f -u virtio-win | grep -i 'descriptor overrun'

• linux / server:

ps aux | grep virtio-win

• linux / server:

ls -l /usr/lib/virtio-win/ -watch | grep -i 'descriptor'

1. 2026-03-30Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-03-30
3. संशोधित2026-04-28
4. EPSS अद्यतन2026-04-07

Red Hat ने इस भेद्यता को दूर करने के लिए एक अपडेट जारी किया है। जल्द से जल्द virtio-win को संस्करण 2.5.4 में अपडेट करने की पुरजोर अनुशंसा की जाती है। यह अपडेट RhelDoUnMap() फ़ंक्शन में इनपुट सत्यापन को ठीक करता है, जिससे बफर ओवरफ्लो को रोका जा सकता है। अपडेट लागू करने के लिए, Red Hat के yum या dnf पैकेज मैनेजर का उपयोग करें। विशिष्ट निर्देशों और किसी भी अतिरिक्त निर्भरता के लिए अपडेट के रिलीज़ नोट्स देखें। DoS के जोखिम को कम करने के लिए इस अपडेट को तुरंत लागू करना महत्वपूर्ण है।