Il difetto di fuga della macchina virtuale estremamente critico di Xen ottiene una correzione

Il progetto Xen ha corretto diverse vulnerabilità nel suo famoso software di virtualizzazione, incluso uno che potrebbe consentire a potenziali aggressori di uscire da una macchina virtuale e ottenere il controllo su il sistema host.

Le vulnerabilità che interrompono il livello di isolamento tra macchine virtuali sono il tipo più grave per un hypervisor come Xen, il cui obiettivo principale è consentire l'esecuzione di più VM sullo stesso hardware in modo sicuro.

The Xen le patch rilasciate giovedì risolvono un totale di nove vulnerabilità, ma l'escalation dei privilegi identificata come CVE-2015-7835 è la più grave.

[Ulteriori letture: Come rimuovere il malware da m il tuo PC Windows]

Deriva non da un errore di programmazione tradizionale, ma da un difetto logico nel modo in cui Xen implementa la virtualizzazione della memoria per le VM (paravirtualizzate) PV. Il fotovoltaico è una tecnica che consente la virtualizzazione su CPU che non supportano la virtualizzazione assistita dall'hardware.

Come tale, il difetto può essere sfruttato solo dagli amministratori malvagi degli ospiti PV e solo su sistemi x86, il progetto Xen ha detto in un advisory . Le versioni Xen 3.4 e successive sono vulnerabili.

La vulnerabilità, che esiste da 7 anni, è "probabilmente la peggiore che abbiamo mai visto per l'hypervisor Xen, mai", ha detto il team di sicurezza del progetto OS Qubes nella propria consulenza . Il sistema operativo di Qubes si affida a Xen per compartimentare le diverse attività eseguite dagli utenti per una maggiore sicurezza.

"È davvero sconvolgente che un tale errore si sia annidato nel nucleo dell'hypervisor per così tanti anni", ha affermato il team di sicurezza di Qubes. "Secondo noi, il progetto Xen dovrebbe riconsiderare le linee guida di codifica e cercare di mettere in pratica pratiche e forse meccanismi aggiuntivi che non lascino che difetti simili possano affliggere l'hypervisor di nuovo (meccanismi forse simili?). Altrimenti l'intero progetto non rende senso, almeno a coloro che vorrebbero usare Xen per lavori sensibili alla sicurezza. "