用于配置新虚拟机的 Virt-install(1) 实用程序引入了一个 '--unattended' 选项，用于在没有用户交互的情况下创建虚拟机。此选项接受来宾虚拟机密码作为命令行参数

攻击者可以通过进程列表查看虚拟机密码，从而未经授权访问虚拟机。这可能导致数据泄露、恶意软件部署或系统控制权被盗。虽然 CVSS 评分为低危，但由于虚拟机通常包含敏感数据，因此该漏洞的潜在影响不容忽视。如果虚拟机用于存储或处理机密信息，则该漏洞的风险会显著增加。攻击者可能利用此漏洞进行横向移动，访问同一系统上的其他虚拟机或服务。

1. 已保留2019-03-27
2. 发布日期2019-07-03
3. 修改日期2024-08-04
4. EPSS 更新日期2026-04-02

最有效的缓解措施是升级 virt-install 至 2.2.1 或更高版本。如果无法立即升级，可以考虑限制对 virt-install 的访问权限，仅允许授权用户使用该工具。此外，应避免在命令行中传递密码，而是使用更安全的身份验证方法，例如 SSH 密钥。监控系统进程列表，查找可疑活动，并定期审查虚拟机配置，以确保其安全性。