L'hypervisor Xen affronta il terzo bug di escape della VM altamente critico in 10 mesi

Il progetto Xen ha risolto tre vulnerabilità nel suo hypervisor ampiamente utilizzato che potevano consentire ai sistemi operativi in ​​esecuzione all'interno di macchine virtuali di accedere alla memoria dei sistemi host, rompendo il livello di sicurezza critico tra loro.

Due delle vulnerabilità patchate possono essere sfruttate solo in determinate condizioni, il che ne limita l'uso in potenziali attacchi, ma una è un difetto altamente affidabile che costituisce una grave minaccia per i data center multitenant in cui i server virtualizzati dei clienti condividono lo stesso hardware sottostante.

I difetti non hanno ancora numeri di tracciamento CVE, ma sono coperti in tre avvisi di sicurezza Xen chiamati XSA-213, XSA-214 e XSA-215.

"XSA-213 è un bug fatale e affidabile sfruttabile in Xen", ha affermato il team di sicurezza del sistema operativo Qubes, un sistema operativo che isola le applicazioni all'interno delle macchine virtuali Xen. "Nella storia di quasi otto anni del progetto del sistema operativo Qubes, ci siamo resi conto di quattro bug di questo calibro: XSA-148, XSA-182, XSA-212 e ora XSA-213."

Di queste quattro vulnerabilità altamente critiche e facili da sfruttare, tre sono state trovate e patchate negli ultimi 10 mesi e due nell'ultimo mese: XSA-182 è stato risolto a luglio 2016, XSA-212 ad aprile e XSA-213 martedì.

Un'altra cosa comune è che tutti loro hanno influenzato la virtualizzazione della memoria Xen per le macchine virtuali paravirtualizzate (PV). Xen supporta due tipi di macchine virtuali: Hardware Virtual Machines (HVMs), che utilizzano la virtualizzazione assistita da hardware e VM paravirtualizzate che utilizzano la virtualizzazione basata su software.

Gli altri due difetti corretti martedì, XSA-214 e XSA-215, riguardano anche le macchine virtuali paravirtualizzate. La differenza è che XSA-214 richiede due VM guest dannose per lavorare insieme per accedere alla memoria di sistema, mentre XSA-215 influenza solo "i sistemi x86 con memoria fisica che si estende fino a un limite di 5 TB o 3,5 TB dipendente dalla configurazione".

Una limitazione per XSA-213 è che può essere sfruttato solo dai guest PV a 64 bit, quindi i sistemi che eseguono solo guest PV HVM o a 32 bit non sono interessati.

Gli sviluppatori di Xen hanno rilasciato patch per Xen 4.8.x, Xen 4.7.x, Xen 4.6.xe Xen 4.5.x che possono essere applicate manualmente ai sistemi interessati.

L'hypervisor Xen open source viene utilizzato da molti provider di cloud computing e società di hosting di server privati ​​virtuali (VPS), alcuni dei quali hanno ricevuto le patch in anticipo e sono stati costretti a pianificare i tempi di inattività della manutenzione.

Ad esempio, il provider VPS Linode ha dovuto riavviare alcuni dei suoi host Xen PV legacy per applicare la correzione e ha consigliato ai clienti di spostarsi sui suoi server basati su HVM per evitare futuri tempi di inattività.

Nel frattempo, Amazon Web Services ha affermato che i dati e le istanze dei propri clienti non sono stati interessati da queste vulnerabilità e che non è stata richiesta alcuna azione da parte dei clienti.

Il team del sistema operativo Qubes, che è orgoglioso di creare uno dei sistemi operativi desktop più sicuri, ha avuto abbastanza da dover affrontare ripetutamente le vulnerabilità di Xen PV. Ecco perché, negli ultimi 10 mesi, ha fatto un lavoro extra per passare alla prossima versione del sistema operativo - Qubes 4.0 - in HVM.

"Inizialmente speravamo di poter passare all'esecuzione di tutte le VM Linux in una cosiddetta modalità di virtualizzazione PVH, in cui l'emulatore I / O non è affatto necessario, ma si è scoperto che il kernel Linux non è del tutto pronto per questo", Il team di Qubes ha detto in un'analisi delle ultime patch di Xen. "Quindi, in Qubes 4.0, useremo la classica modalità HVM, in cui l'emulatore I / O è sandbox all'interno di ... una VM PV (che è anche il caso in cui si eseguono AppVM di Windows su Qubes 3.x)."

La buona notizia è che le basi sono impostate per passare da Qubes a PVH in futuro quando il kernel Linux aggiungerà il supporto necessario e persino per sostituire Xen completamente con qualcos'altro, se si presenta un'alternativa migliore.

Unisciti alle community di Network World su Facebook e LinkedIn per commentare argomenti che sono importanti.