Уязвимость гипервизора Xen позволяет получить доступ к памяти хост-системы из виртуальной машины

^[1]

Критическая уязвимость ^[2] в популярном гипервизоре Xen позволяет злоумышленникам получить ^[3] доступ к памяти хост-системы, на которой запущена виртуальная машина. Подобный взлом системы безопасности гипервизора может нести угрозу, например, для дата-центров, в которых виртуальная инфраструктура разных клиентов работает на одном железе.

В чем проблема

Гипервизор с открытым программным кодом Xen используется поставщиками облачных услуг и хостинг-провайдерами, кроме того он его применяют некоторые разработчики защищенных операционных систем, например Qubes OS.

Обнаруженная уязвимость затрагивает Xen версий 4.8.x, 4.7.x, 4.6.x, 4.5.x и 4.4.x — она присутствовала в коде продукта на протяжение более чем четырех лет. Ошибка в коде возникла в декабре 2012 года в результате внесения исправлений для другой проблемы.

Используя эту уязвимость, злоумышленники, имеющие доступ к гостевой операционной системы, могут «читать» память всей хост-машины.

Как защититься

Команда Xen Project во вторник, 4 апреля, выпустила патч — его нужно применять к уязвимым системам вручную. Xen поддерживает два типа виртуальных машин: аппаратные (hardware virtual machines, HVMs) и паравиртуализированные ^[4] (PV). Описанную уязвимость можно эксплуатировать только из 64-битных паравиртуализированных гостевых систем.

Таким образом не все пользователи поставщиков услуг и хостинг-провайдеров, использующих Xen, оказались в зоне риска. Например, администрация Amazon Web Services сообщила ^[5], что клиенты сервиса, его дата-центры и виртуальные машины не затронуты уязвимостью, поэтому пользователям не следует предпринимать никаких дополнительных действий. При этом, провайдер виртуальной инфраструктуры Linode для устранения ошибки вынужден был перезагрузить ^[6] несколько своих legacy-серверов, работающих с помощью Xen.

Разработчики Qubes OS, в которой Xen используется для изолирования приложений внутри виртуальных машин, опубликовали ^[7] бюллетень безопасности. В нем сообщается о том, что использование уязвимости Xen в комбинации с эксплуатацией других ошибок безопасности (например, в браузере), может приводить к компрометации всей системы Qubes. В итоге для систем Qubes 3.1 и 3.2 был выпущен патч, кроме того, команда проекта планирует отказаться от использования паравиртуализации в следующем релизе системы Qubes 4.0.

Это не первый случай, когда в системах виртуализации находят уязвимости, позволяющие злоумышленникам покидать изолированную зону виртуальных машин и попадать в хост-систему. К примеру, осенью 2016 года специалисты по информационной безопасности обнаружили ^[8] уязвимость в продуктах VMware, которая позволяет злоумышленнику получать доступ к виртуальной машине и осуществлять выполнение кода на хост-системе.

Автор: Positive Technologies

Источник ^[9]