L'hyperviseur Xen fait face à un troisième bogue d'échappement VM hautement critique en 10 mois

Le projet Xen a corrigé trois vulnérabilités dans son hyperviseur largement utilisé qui pourraient permettre aux systèmes d'exploitation s'exécutant à l'intérieur des machines virtuelles d'accéder à la mémoire des systèmes hôtes, brisant la couche de sécurité critique parmi eux.

Deux des vulnérabilités corrigées ne peuvent être exploitées que dans certaines conditions, ce qui limite leur utilisation dans les attaques potentielles, mais l'une est une faille très fiable qui menace sérieusement les centres de données multi-locataires où les serveurs virtualisés des clients partagent le même matériel sous-jacent.

Les failles n'ont pas encore de numéros de suivi CVE, mais sont couvertes par trois avis de sécurité Xen appelés XSA-213, XSA-214 et XSA-215.

"XSA-213 est un bogue fatal et fiable exploitable dans Xen", a déclaré l'équipe de sécurité de Qubes OS, un système d'exploitation qui isole les applications à l'intérieur des machines virtuelles Xen. «En près de huit ans d'histoire du projet Qubes OS, nous avons pris connaissance de quatre bogues de ce calibre: XSA-148, XSA-182, XSA-212 et maintenant XSA-213.»

Sur ces quatre vulnérabilités hautement critiques et faciles à exploiter, trois ont été trouvées et corrigées au cours des 10 derniers mois et deux au cours du mois dernier - XSA-182 a été corrigé en juillet 2016, XSA-212 en avril et XSA-213 mardi..

Un autre point commun est qu'ils ont tous affecté la virtualisation de la mémoire Xen pour les machines virtuelles paravirtualisées (PV). Xen prend en charge deux types de machines virtuelles: les machines virtuelles matérielles (HVM), qui utilisent la virtualisation assistée par matériel, et les machines virtuelles paravirtualisées qui utilisent la virtualisation logicielle.

Les deux autres failles corrigées mardi, XSA-214 et XSA-215, affectent également les machines virtuelles paravirtualisées. La différence est que XSA-214 nécessite deux machines virtuelles invitées malveillantes pour travailler ensemble afin d'accéder à la mémoire système, tandis que XSA-215 n'affecte que "les systèmes x86 avec une mémoire physique s'étendant jusqu'à une limite dépendante de la configuration de 5 To ou 3,5 To".

Une limitation pour XSA-213 est qu'il ne peut être exploité qu'à partir d'invités PV 64 bits, de sorte que les systèmes exécutant uniquement HVM ou des invités PV 32 bits ne sont pas affectés.

Les développeurs Xen ont publié des correctifs pour Xen 4.8.x, Xen 4.7.x, Xen 4.6.x et Xen 4.5.x qui peuvent être appliqués manuellement aux systèmes affectés.

L'hyperviseur Xen open source est utilisé par de nombreux fournisseurs de cloud computing et sociétés d'hébergement de serveurs privés virtuels (VPS), dont certains ont reçu les correctifs à l'avance et ont été obligés de planifier des temps d'arrêt de maintenance.

Par exemple, le fournisseur de VPS Linode a dû redémarrer certains de ses hôtes PV Xen hérités afin d'appliquer le correctif et a conseillé aux clients de passer à ses serveurs basés sur HVM pour éviter de futurs temps d'arrêt..

Pendant ce temps, Amazon Web Services a déclaré que les données et les instances de ses clients n'étaient pas affectées par ces vulnérabilités et qu'aucune action client n'était requise.

L'équipe de Qubes OS, qui se targue de construire l'un des systèmes d'exploitation de bureau les plus sécurisés, en a assez d'avoir à faire face à plusieurs reprises aux vulnérabilités de Xen PV. C'est pourquoi, au cours des 10 derniers mois, il a déployé des efforts supplémentaires pour passer de la prochaine version du système d'exploitation - Qubes 4.0 - à HVM.

"Au départ, nous espérions pouvoir passer à l'exécution de toutes les machines virtuelles Linux dans un mode de virtualisation dit PVH, où l'émulateur d'E / S n'est pas du tout nécessaire, mais il s'est avéré que le noyau Linux n'est pas tout à fait prêt pour cela", L'équipe Qubes a déclaré dans une analyse des derniers correctifs Xen. "Ainsi, dans Qubes 4.0, nous utiliserons le mode HVM classique, où l'émulateur d'E / S est placé dans un bac à sable ... une machine virtuelle PV (ce qui est également le cas lorsque l'on exécute Windows AppVM sur Qubes 3.x)."

La bonne nouvelle est que le travail préparatoire est prêt à passer de Qubes à PVH à l'avenir lorsque le noyau Linux ajoutera le support nécessaire, et même de remplacer Xen entièrement par autre chose, si une meilleure alternative se présente.

Rejoignez les communautés Network World sur Facebook et LinkedIn pour commenter des sujets qui vous tiennent à cœur.