CVE-2026-93834 — QEMU-9pfs-Guest-Escape-Tracking-Website

Quelle für den Patch-Status-Tracker zu CVE-2026-93834: eine einseitige Website, die festhält, welche QEMU-Stable-Branches und welche Distributionen einen Fix für die Use-after-free-Guest-to-Host-Escape-Schwachstelle in QEMU 9pfs ausgeliefert haben.

Wo die Fakten zu finden sind

Alles über den Bug — betroffene und behobene Versionen, der Upstream- Fix-Commit und seine Stable-Backports, die Anerkennung von Entdeckung und Offenlegung sowie der aktuelle Patch-Status pro Distribution — gehört auf die Tracker-Seite, nicht in diese README:

• Gerendert: https://kimmo.cloud/CVE-2026-93834/
• Quelle: site/content/_index.md

Bearbeite diese Datei; alles andere in diesem Repo ist Build-Infrastruktur.

Nichts davon wird hier absichtlich wiederholt. Die Tracker-Seite wird überarbeitet, sobald Distributionen Fixes ausliefern — bei den aktiv aktualisierten Trackern zweimal täglich durch den Auto-Update-Agent —, sodass jede in dieser README gepflegte Kopie still veralten würde. Widerstehe der Versuchung, eine Zusammenfassung erneut hinzuzufügen.

Der Deployment-Plan und der aktuelle Einrichtungsstand befinden sich in WEBSITE.md.

Lokale Entwicklung

Erfordert Hugo ≥ 0.146.0 (die Standard-Edition genügt: keine Sass- oder Bildverarbeitung auf dieser Website) und Go (damit Hugo Modules das PaperMod- Theme abrufen kann).

Mit Nix (empfohlen)

nix develop          # dev shell: hugo, go, resvg + fonts, and every lookup tool
cd site
hugo server          # local preview at http://localhost:1313/CVE-2026-93834/

Wenn Sie direnv verwenden, führen Sie einmal direnv allow aus, und die Dev-Shell wird automatisch aktiviert, sobald Sie mit cd in das Repository wechseln.

Ohne Nix

Installieren Sie Hugo ≥ 0.146.0 und Go ≥ 1.24 selbst (in CLAUDE.md § „Build environment“ finden Sie das go install-Rezept), dann:

cd site
hugo server          # http://localhost:1313/CVE-2026-93834/

Bauen und Veröffentlichen

make build       # local build into site/public/
make dist        # build, then rsync to haig:/CVE-2026-93834/
make banner      # re-rasterise the social banner SVG → PNG (needs resvg + the banner fonts)
make check       # run the helper-script tests

make dist führt zuerst make build aus. make banner ist nur nach der Bearbeitung von site/assets/cve-2026-93834-tracker.svg erforderlich; das gerenderte PNG ist eingecheckt.

Datierung eines Fixes

Die Spalte Fixed since einer Zeile ist das Datum, an dem der Fix tatsächlich ausgeliefert wurde, abgeleitet aus der Quelle, die ihn ausgeliefert hat — niemals der Tag, an dem er bemerkt wurde. Für die NixOS- und nixpkgs-Kanäle ist diese Ableitung ein Skript:

./scripts/nixos-first-shipped nixos-unstable <nixpkgs-commit>

Es listet die veröffentlichten Releases des Kanals auf, findet das früheste, das aus einer Revision mit dem Commit erstellt wurde, und gibt dieses Release sowie sein Veröffentlichungsdatum aus. Upstream-QEMU-Daten stammen aus den Stable-Release-Tags, Debian-Daten aus dem Changelog oder von snapshot.debian.org, pkgsrc-Daten aus der Git-Historie des Pakets, Proxmox-Daten aus dem pve-qemu-kvm-Changelog und Rocky-Daten aus der Upload-Liste des Mirrors — CLAUDE.md enthält die Rezepte.

Die anderen drei Helfer lesen den aktuellen Zustand aus dem Security-Tracker und den lokalen Clones aus:

./scripts/debian-versions

./scripts/nixpkgs-versions

./scripts/pkgsrc-versions

Jede gibt eine Zeile pro verfolgter Zeile aus — die Version und ob ein Changelog oder Patch die verfolgte CVE nennt (aufgeführt in scripts/tracked-ids).

Repo-Layout

.
├── flake.nix              # Nix dev environment (build, banner, publish, lookup tools)
├── .envrc                 # direnv hook → `use flake`
├── .gitignore
├── Makefile               # `make build`, `make dist`, `make banner`, `make check`
├── LICENSE                # CC BY 4.0
├── README.md              # this file
├── CLAUDE.md              # project instructions for Claude Code
├── WEBSITE.md             # publication plan / decisions log
├── scripts/               # auto-update driver + prompt, and the lookup helpers
├── systemd/               # user-level service unit, run by the sweep
├── tests/                 # tests for the lookup helpers
└── site/                  # Hugo project
    ├── hugo.toml
    ├── content/
    │   └── _index.md      # the tracker (single page)
    ├── assets/css/extended/custom.css      # PaperMod CSS overrides
    ├── assets/cve-2026-93834-tracker.svg   # social-banner source (→ make banner)
    ├── static/cve-2026-93834-tracker.png   # rendered OpenGraph banner (committed)
    ├── layouts/partials/  # PaperMod overrides (post_meta, extend_footer)
    ├── layouts/shortcodes/details.html     # collapsible verification log
    ├── go.mod, go.sum     # Hugo Modules — pulls PaperMod theme
    └── …                  # standard Hugo skeleton

Lizenz

CC BY 4.0 — Teilen und Anpassen mit Namensnennung.