灾难性漏洞:Venom威胁大多数据中心

安全 漏洞
一安全研究公司发出警报,指一个新的Bug能让黑客从内部骑劫数据中心的决大部分机器。该零日漏洞来自有着广泛应用的虚拟化软件的传统通用组件,可被黑客利用,使其渗透连接到数据中心网络的每一台机器。

一安全研究公司发出警报,指一个新的Bug能让黑客从内部骑劫数据中心的决大部分机器。

该零日漏洞来自有着广泛应用的虚拟化软件的传统通用组件,可被黑客利用,使其渗透连接到数据中心网络的每一台机器。

目前大多数数据中心都将客户(包括大型科技公司和小公司的客户)密集地置于虚拟机上,或是将多个操作系统密集地置于单一的服务器上。虚拟化系统的使用旨在共享资源,但虚拟化系统在主机管理程序里仍然是独立的实体。虚拟机的运行由主机管理程序全力操纵。新发现的漏洞名为“毒液”(Venom),全称为“虚拟环境疏忽运作操纵”(Virtualized Environment Neglected Operations Manipulation,缩写为Venom),黑客可以利用Venom无障碍访问虚拟机管理程序,因而亦可访问连在数据中心网络上的所有设备。

Venom漏洞源于传统的虚拟软盘控制器,少有人理会该虚拟软盘控制器,但如果虚拟软盘控制器收到特制的代码,整个虚拟机管理程序就会崩溃。如此黑客可以从自己的虚拟机破格访问其他机器,包括其他人或其他公司拥有的机器。

该Bug是在开源计算机仿真器QEMU里发现的,最初的发现日期是2004年。许多现代虚拟化平台(如Xen、KVM和Oracle的VirtualBox)都内含该段有毛病的代码。

VMware、微软Hyper-V和Bochs的虚拟机管理程序不受影响。

漏洞是CrowdStrike的Jason Geffner发现的。他在周二一次电话采访时表示,“数以百万计的虚拟机在用含有该漏洞的平台。”

Venom漏洞可能是今年发现的最大漏洞之一。发现漏洞的时间离去年臭名昭著Heartbleed漏洞一年多一点点。Heartbleed漏洞影响到开源加密软件OpenSSL,可被不坏好意的人利用,以获取受影响的服务器内存中的数据。

Geffner用了一个比喻解释两个漏洞的不同,“Heartbleed能让对手通过房子的窗户看到数据,进而收集信息。Venom却可以让人潜入到一栋房子里,以及附近所有的房子里。”

Geffner表示,他的公司正在与软件厂商合作,以求在周三公布漏洞前修补好漏洞。由于许多公司有自己的硬件和软件,因此数以千计的受影响的客户在打补丁时无需下线。

他表示,目前最大的问题是有些公司运行的系统无法自动打补丁。

黑客如想利用Venom漏洞的话,就必须以高权限或“根”权限进入一个虚拟机。Geffner给大家提了个醒,他表示,要从一个云计算服务商那租用一个虚拟机用于攻击虚拟机管理程序,是件很简单的事。

Geffner表示,“至于有心搞事的人攻陷虚拟机管理程序后能够做什么,这将处决于网络的布局。”言下之意:要骑劫整个数据中心是可能的。

Dan Kaminsky是一位资深安全专家,从事安全研究工作。他在一份电子邮件里表示,Venom Bug十多年来未引起人们的注意,原因是谁也不会对传统磁盘驱动器系统瞥上一眼。而几乎每一个虚拟化软件里却恰恰都含有传统磁盘驱动器系统。

Kaminsky表示,“运行云系统的人真的要打补丁处理该Bug。应该不会是件太头痛的事,因为那些可能受到系统影响的大供应商都已经对漏洞采取了措施。”

由于Venom Bug是在CrowdStrike公司内部发现的,坊间并无公开的代码可作攻击用。Geffner表示,利用Venom漏洞进行攻击并不难,但成功开发可用的恶意代码“颇费周折”。

Venom漏洞四月下旬披露后,一众公司用了近两周给受影响的系统打补丁。

Rackspace公司在一份电子邮件声明中称,Rackspace被告知旗下的一部分云服务器受到影响,Rackspace还称旗下的系统已经打了补丁。

开发了VirtualBox的甲骨文在一份电子邮件声明中表示,甲骨文公司“知道”该问题存在,已经修复了代码,并说甲骨文将很快发布一个维护更新。

甲骨文软件负责人Frank Mehnert表示,“我们将很快发布VirtualBox 4.3维护版。除此之外,受影响的用户数量是有限的,因为大多数标准虚拟机的配置禁用软盘设备仿真。”

甲骨文的一位发言人拒绝就此发表评论。

Linux基金会负责Xen项目。其发言人拒绝就细节发表评论,但称已经发布了一个安全公告。

责任编辑:何妍 来源: 机房360
相关推荐

2011-05-26 10:50:31

2016-10-26 09:42:13

2016-11-13 19:51:16

2020-04-08 11:01:56

数据中心边缘计算物联网

2009-07-14 15:39:34

Swing大多数控件

2022-06-10 10:19:15

路由器漏洞

2014-01-02 10:34:54

设计设计师

2015-08-07 14:39:23

2014-12-04 10:05:18

2019-10-09 10:06:22

网络大数据物联网

2023-03-28 08:00:00

2021-04-04 22:39:50

Ubiquiti数据泄漏黑客

2021-06-17 11:05:46

漏洞Linux发行版Polkit auth

2020-11-02 10:48:13

数据中心IT技术

2013-03-28 10:01:50

云计算

2012-12-19 10:07:18

2014-08-01 10:26:08

2015-06-01 15:25:06

Oracle数据库灾难恢复

2014-12-18 10:57:27

数据安全敏感数据数据保护

2022-03-31 14:28:43

数据安全企业数据保护
点赞
收藏

51CTO技术栈公众号