CVE-2026-93834 — Site de suivi de l'évasion d'invité QEMU 9pfs

Source du suivi de l'état des correctifs pour CVE-2026-93834 : un site d'une seule page qui recense les branches stables de QEMU et les distributions ayant publié un correctif pour la faille use-after-free d'évasion invité-vers-hôte dans QEMU 9pfs.

Où se trouvent les faits

Tout ce qui concerne la faille — versions affectées et corrigées, le commit de correction en amont et ses rétroportages vers les branches stables, le crédit de découverte et de divulgation, ainsi que l'état actuel des correctifs par distribution — appartient à la page du suivi, et non à ce README :

Rendu : https://kimmo.cloud/CVE-2026-93834/
Source : site/content/_index.md

Modifiez ce fichier ; tout le reste de ce dépôt est de l'infrastructure de build.

Rien de tout cela n'est volontairement répété ici. La page du suivi est révisée au fur et à mesure que les distributions publient des correctifs — pour les suivis activement mis à jour, deux fois par jour par l'agent de mise à jour automatique — de sorte que toute copie conservée dans ce README se dégraderait silencieusement. Résistez à l'envie de rajouter un résumé.

Le plan de déploiement et l'état actuel de la configuration se trouvent dans WEBSITE.md.

Développement local

Nécessite Hugo ≥ 0.146.0 (l'édition standard suffit : pas de Sass ni de traitement d'images sur ce site) et Go (pour que Hugo Modules récupère le thème PaperMod).

Avec Nix (recommandé)

nix develop          # dev shell: hugo, go, resvg + fonts, and every lookup tool
cd site
hugo server          # local preview at http://localhost:1313/CVE-2026-93834/

Si vous utilisez direnv, exécutez direnv allow une fois et le shell de développement s'active automatiquement dès que vous faites cd dans le dépôt.

Sans Nix

Installez vous-même Hugo ≥ 0.146.0 et Go ≥ 1.24 (CLAUDE.md § « Build environment » contient la recette go install), puis :

cd site
hugo server          # http://localhost:1313/CVE-2026-93834/

Compilation et publication

make build       # local build into site/public/
make dist        # build, then rsync to haig:/CVE-2026-93834/
make banner      # re-rasterise the social banner SVG → PNG (needs resvg + the banner fonts)
make check       # run the helper-script tests

make dist exécute d'abord make build. make banner n'est nécessaire qu'après avoir modifié site/assets/cve-2026-93834-tracker.svg ; le PNG rendu est versionné.

Datation d'un correctif

La colonne Fixed since d'une ligne correspond à la date à laquelle le correctif a réellement été livré, dérivée de la source qui l'a livré — jamais le jour où il a été remarqué. Pour les canaux NixOS et nixpkgs, cette dérivation est effectuée par un script :

./scripts/nixos-first-shipped nixos-unstable <nixpkgs-commit>

Il liste les versions publiées du canal, trouve la plus ancienne construite à partir d'une révision contenant le commit, et affiche cette version ainsi que sa date de publication. Les dates d'Upstream QEMU proviennent des tags de version stable, les dates Debian du changelog ou de snapshot.debian.org, les dates pkgsrc de l'historique git du paquet, les dates Proxmox du changelog de pve-qemu-kvm, et les dates Rocky de la liste des uploads du miroir — CLAUDE.md contient les recettes.

Les trois autres assistants lisent l'état actuel depuis le tracker de sécurité et les clones locaux :

./scripts/debian-versions

./scripts/nixpkgs-versions

./scripts/pkgsrc-versions

Chaque script affiche une ligne par ligne suivie — la version, et si un changelog ou un patch mentionne le CVE suivi (listé dans scripts/tracked-ids).

Organisation du dépôt

.
├── flake.nix              # Nix dev environment (build, banner, publish, lookup tools)
├── .envrc                 # direnv hook → `use flake`
├── .gitignore
├── Makefile               # `make build`, `make dist`, `make banner`, `make check`
├── LICENSE                # CC BY 4.0
├── README.md              # this file
├── CLAUDE.md              # project instructions for Claude Code
├── WEBSITE.md             # publication plan / decisions log
├── scripts/               # auto-update driver + prompt, and the lookup helpers
├── systemd/               # user-level service unit, run by the sweep
├── tests/                 # tests for the lookup helpers
└── site/                  # Hugo project
    ├── hugo.toml
    ├── content/
    │   └── _index.md      # the tracker (single page)
    ├── assets/css/extended/custom.css      # PaperMod CSS overrides
    ├── assets/cve-2026-93834-tracker.svg   # social-banner source (→ make banner)
    ├── static/cve-2026-93834-tracker.png   # rendered OpenGraph banner (committed)
    ├── layouts/partials/  # PaperMod overrides (post_meta, extend_footer)
    ├── layouts/shortcodes/details.html     # collapsible verification log
    ├── go.mod, go.sum     # Hugo Modules — pulls PaperMod theme
    └── …                  # standard Hugo skeleton

Licence

CC BY 4.0 — partage et adaptation avec attribution.

CVE-2026-93834

Populaires