Xen-Hypervisor ist innerhalb von 10 Monaten mit dem dritten hochkritischen VM-Fluchtfehler konfrontiert

Das Xen-Projekt hat drei Schwachstellen in seinem weit verbreiteten Hypervisor behoben, die es Betriebssystemen, die in virtuellen Maschinen ausgeführt werden, ermöglichen könnten, auf den Speicher der Hostsysteme zuzugreifen, wodurch die kritische Sicherheitsschicht zwischen ihnen unterbrochen wird.

Zwei der gepatchten Sicherheitslücken können nur unter bestimmten Bedingungen ausgenutzt werden, was ihre Verwendung bei potenziellen Angriffen einschränkt. Einer ist jedoch ein äußerst zuverlässiger Fehler, der eine ernsthafte Bedrohung für Rechenzentren mit mehreren Mandanten darstellt, in denen die virtualisierten Server der Kunden dieselbe zugrunde liegende Hardware verwenden.

Die Fehler haben noch keine CVE-Tracking-Nummern, werden jedoch in drei Xen-Sicherheitshinweisen mit den Namen XSA-213, XSA-214 und XSA-215 behandelt.

"XSA-213 ist ein schwerwiegender, zuverlässig ausnutzbarer Fehler in Xen", sagte das Sicherheitsteam von Qubes OS, einem Betriebssystem, das Anwendungen in virtuellen Xen-Maschinen isoliert. "In der fast achtjährigen Geschichte des Qubes OS-Projekts sind uns vier Fehler dieses Kalibers bekannt geworden: XSA-148, XSA-182, XSA-212 und jetzt XSA-213."

Von diesen vier äußerst kritischen und leicht auszunutzenden Sicherheitslücken wurden drei in den letzten 10 Monaten und zwei im letzten Monat gefunden und gepatcht - XSA-182 wurde im Juli 2016, XSA-212 im April und XSA-213 am Dienstag behoben.

Eine weitere Gemeinsamkeit besteht darin, dass alle die Xen-Speichervirtualisierung für paravirtualisierte (PV) VMs beeinflussten. Xen unterstützt zwei Arten von virtuellen Maschinen: Hardware Virtual Machines (HVMs), die hardwareunterstützte Virtualisierung verwenden, und paravirtualisierte VMs, die softwarebasierte Virtualisierung verwenden.

Die beiden anderen am Dienstag gepatchten Fehler, XSA-214 und XSA-215, betreffen auch paravirtualisierte VMs. Der Unterschied besteht darin, dass für XSA-214 zwei böswillige Gast-VMs zusammenarbeiten müssen, um auf den Systemspeicher zuzugreifen, während XSA-215 nur "x86-Systeme mit physischem Speicher betrifft, der sich bis zu einer konfigurationsabhängigen Grenze von 5 TB oder 3,5 TB erstreckt".

Eine Einschränkung für XSA-213 besteht darin, dass es nur von 64-Bit-PV-Gästen genutzt werden kann, sodass Systeme, auf denen nur HVM- oder 32-Bit-PV-Gäste ausgeführt werden, nicht betroffen sind.

Die Xen-Entwickler haben Patches für Xen 4.8.x, Xen 4.7.x, Xen 4.6.x und Xen 4.5.x veröffentlicht, die manuell auf betroffene Systeme angewendet werden können.

Der Open-Source-Xen-Hypervisor wird von vielen Cloud-Computing-Anbietern und VPS-Hosting-Unternehmen (Virtual Private Server) verwendet, von denen einige die Patches im Voraus erhalten haben und gezwungen waren, Wartungsausfälle zu planen.

Beispielsweise musste der VPS-Anbieter Linode einige seiner älteren Xen PV-Hosts neu starten, um das Update anzuwenden, und empfahl den Kunden, auf seine HVM-basierten Server zu wechseln, um zukünftige Ausfallzeiten zu vermeiden.

In der Zwischenzeit gab Amazon Web Services an, dass die Daten und Instanzen seiner Kunden von diesen Sicherheitsanfälligkeiten nicht betroffen waren und keine Kundenaktionen erforderlich waren.

Das Qubes OS-Team, das stolz darauf ist, eines der sichersten Desktop-Betriebssysteme zu entwickeln, hatte genug davon, sich wiederholt mit Xen PV-Schwachstellen befassen zu müssen. Aus diesem Grund wurde in den letzten 10 Monaten zusätzliche Arbeit geleistet, um die nächste Version des Betriebssystems - Qubes 4.0 - auf HVM umzustellen.

"Wir hatten ursprünglich gehofft, dass wir alle Linux-VMs in einem sogenannten PVH-Virtualisierungsmodus ausführen können, in dem der E / A-Emulator überhaupt nicht benötigt wird, aber es stellte sich heraus, dass der Linux-Kernel dafür nicht ganz bereit ist", sagte der Qubes Team sagte in einer Analyse der neuesten Xen-Patches. "In Qubes 4.0 verwenden wir also den klassischen HVM-Modus, in dem der E / A-Emulator in einer PV-VM in einer Sandbox gespeichert ist (was auch der Fall ist, wenn Windows AppVMs unter Qubes 3.x ausgeführt werden)."

Die gute Nachricht ist, dass die Grundlagen dafür gelegt werden, Qubes in Zukunft auf PVH umzustellen, wenn der Linux-Kernel die erforderliche Unterstützung hinzufügt, und Xen sogar vollständig durch etwas anderes zu ersetzen, wenn eine bessere Alternative hinzukommt.

Treten Sie den Network World-Communitys auf Facebook und LinkedIn bei, um Kommentare zu Themen abzugeben, die im Vordergrund stehen.