La faille d'échappement hautement critique de la machine virtuelle de Xen obtient un correctif

Le projet Xen a corrigé plusieurs vulnérabilités dans son logiciel de virtualisation populaire, dont une qui pourrait permettre à des attaquants potentiels de sortir d'une machine virtuelle et de prendre le contrôle du système hôte.

Les vulnérabilités qui cassent la couche d'isolement entre les machines virtuelles sont le type le plus sérieux pour un hyperviseur comme Xen, dont l'objectif principal est de permettre l'exécution de plusieurs VM sur le même matériel de manière sécurisée.

Les correctifs Xen publiés jeudi corrigent un total de neuf vulnérabilités, mais l'escalade de privilèges identifiée comme CVE-2015-7835 est la plus grave.

Cela ne provient pas d'une erreur de programmation traditionnelle, mais d'une faille logique dans la façon dont Xen implémente la virtualisation de la mémoire pour les machines virtuelles PV (paravirtualisées). Le PV est une technique qui permet la virtualisation sur des CPU qui ne prennent pas en charge la virtualisation assistée par matériel.

En tant que tel, la faille ne peut être exploitée que par des administrateurs malveillants d'invités PV et uniquement sur des systèmes x86, a déclaré le projet Xen dans un avis. Les versions Xen 3.4 et supérieures sont vulnérables.

La vulnérabilité, qui existe depuis 7 ans, est "probablement la pire que nous ayons jamais vue affectant l'hyperviseur Xen", a déclaré l'équipe de sécurité du projet Qubes OS dans son propre avis. Qubes OS s'appuie sur Xen pour compartimenter les différentes tâches effectuées par les utilisateurs pour une sécurité accrue.

"Il est vraiment choquant qu'un tel bug se cache au cœur de l'hyperviseur depuis tant d'années", a déclaré l'équipe de sécurité de Qubes. "À notre avis, le projet Xen devrait repenser ses directives de codage et essayer de trouver des pratiques et peut-être des mécanismes supplémentaires qui ne laisseraient plus jamais des défauts similaires infester l'hyperviseur (mécanismes de type assert, peut-être?). Sinon, l'ensemble du projet ne fait aucun sens, au moins pour ceux qui souhaitent utiliser Xen pour un travail sensible à la sécurité. "

Rejoignez les communautés Network World sur Facebook et LinkedIn pour commenter des sujets qui vous tiennent à cœur.