CVE-2025-8860
CVE-2025-8860 · Qemu-kvm: uefi-vars: information disclosure vulnerability in uefi_vars_write callback
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
A flaw was found in QEMU in the uefi-vars virtual device. When the guest writes to register UEFI_VARS_REG_BUFFER_SIZE, the .write callback `uefi_vars_write` is invoked. The function allocates a heap buffer without zeroing the memory, leaving the buffer filled with residual data from prior allocations. When the guest later reads from register UEFI_VARS_REG_PIO_BUFFER_TRANSFER, the .read callback `uefi_vars_read` returns leftover metadata or other sensitive process memory from the previously allocated buffer, leading to an information disclosure vulnerability.
CVSS 3.3 · Baja · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system
Productos y versiones afectados
red hat enterprise linux 10
Sin corrección publicada
red hat enterprise linux 6
Sin corrección publicada
red hat enterprise linux 7
Sin corrección publicada
red hat enterprise linux 8
Sin corrección publicada
red hat enterprise linux 8 advanced virtualization
Sin corrección publicada
red hat enterprise linux 9
Sin corrección publicada
red hat openshift container platform 4
Sin corrección publicada
qemu Debian:13
- Versiones
- 1:10.0.2+ds-2
- 1:10.0.2+ds-2+deb13u1
- 1:10.0.2+ds-2+deb13u1~bpo12+1
- 1:10.0.3+ds-0+deb13u1
- 1:10.0.3+ds-1
- 1:10.0.3+ds-2
- 1:10.0.3+ds-3
- Intervalos de versiones afectados
- ECOSYSTEM: < 1:10.0.3+ds-4
Actualiza a 1:10.0.3+ds-4
qemu Debian:14
- Versiones
- 1:10.0.2+ds-2
- 1:10.0.3+ds-1
- 1:10.0.3+ds-2
- 1:10.0.3+ds-3
- Intervalos de versiones afectados
- ECOSYSTEM: < 1:10.0.3+ds-4
Actualiza a 1:10.0.3+ds-4