Lỗ hổng VENOM đe dọa nhiều nền tảng máy ảo
15:52 | 18/05/2015 | LỖ HỔNG ATTT
Trong quá trình đánh giá an toàn cho hệ thống máy ảo, Nhà nghiên cứu bảo mật Jason Geffne của Công ty an ninh mạng CrowdStrike (Mỹ) đã phát hiện ra lỗ hổng bảo mật VENOM gây ảnh hưởng đến hàng triệu máy ảo.
Lỗ hổng bảo mật VENOM (Virtual Environment Neglected Operations Manipulation) được định danh mã CVE-2015-3456 là một lỗ hổng ảnh hưởng đến trình điều khiển đĩa mềm (FDC-Floppy Disk Controller) trong QEMU (một bộ giả lập máy tính mã nguồn mở được sử dụng để quản lý máy ảo).
Các hệ thống khách liên lạc với FDC bằng cách gửi lệnh như: tìm kiếm, đọc, viết, định dạng…tới cổng vào/ra của FDC. FDC sử dụng một bộ đệm cố định kích thước để lưu trữ các lệnh này và các thông số dữ liệu liên quan. Các FDC theo dõi lượng dữ liệu cho mỗi lệnh và sau khi nhận được tất cả các dữ liệu từ hệ thống khách thì nó thực thi lệnh và xóa bộ đệm cho các lệnh tiếp theo. Việc thiết lập lại bộ đệm này được thực hiện ngay lập tức sau khi thực thi lệnh thành công.
Lỗ hổng VENOM cho phép gửi lệnh và những thông số dữ liệu đặc biệt từ hệ thống khách đến FDC gây tràn bộ đệm và thực thi mã tùy ý trong tiến trình hypervisor của thiết bị đầu cuối. Nó thực thi mã thông qua các lệnh FD_CMD_READ_ID, FD_CMD_DRIVE_SPECIFICATION_COMMAND và một số lệnh không xác định khác.
Theo CrowdStrike, hầu hết các lỗ hổng bảo mật trước đây của nền tảng máy ảo chỉ có thể bị khai thác khi máy ảo không có cấu hình mặc định hay các cấu hình không thể dùng trong môi trường bảo mật (CVE-2007-1744, CVE-2008-1244, CVE-2009-1244…). Một số lỗi khác chỉ gây nguy hiểm cho một nền tảng ảo hóa, hoặc kẻ tấn công không thể tùy ý thực thi mã gây hại. Tuy nhiên, lỗ hổng Venom lại đe dọa hàng loạt nền tảng máy ảo, ảnh hưởng các cấu hình mặc định, cho phép thực thi mã gây hại.
VENOM được đánh giá vô cùng nguy hiểm, bởi tin tặc có thể bị lợi dụng để truy cập vào các công ty, lấy cắp các dữ liệu cá nhân nhạy cảm, khả năng ảnh hưởng tới hàng nghìn tổ chức và hàng triệu người dùng phụ thuộc vào máy ảo để phân phối tài nguyên máy tính, cũng như kết nối, lưu trữ, bảo mật.
Nhiều nền tảng ảo hóa hiện đại bao gồm Xen, KVM và QEMU đều tồn tại lỗ hổngVENOM. Tuy nhiên, VMware, Microsoft Hyper-V và Bochs hypervisors không bị ảnh hưởng bởi lỗ hổng này.
Các nhà cung cấp đã nhanh chóng cung cấp bản vá lỗ hổng VENOM như: QEMU, Xen, Red Hat, Citrix, FireEye, Linode, Rackspace, Ubuntu, Debian, Suse, DigitalOcean, f5, Joyent, Liquid Web, UpCloud và Amazon.
Các nhà quản trị cần xem xét và áp dụng các bản vá lỗ hổng mới nhất cho hệ thống Xen, KVM, QEMU hoặc liên hệ với các nhà cung cấp dịch vụ để được hỗ trợ tốt nhất.
Phân tích lỗ hổng Venom theo hãng CrowdStrike
Phân tích lỗ hổng Venom theo hãng CrowdStrike
