人気のあるXenハイパーバイザーの重大な脆弱性により、攻撃者は仮想マシンが実行されているホストシステムのメモリにアクセスできます。 ハイパーバイザーのセキュリティシステムのこのようなハッキングは、たとえば、異なるハードウェアの仮想インフラストラクチャが同じハードウェアで実行されているデータセンターにとって脅威になる可能性があります。
問題は何ですか
オープンソースハイパーバイザーXenはクラウドサービスプロバイダーとホスティングプロバイダーによって使用され、また、Qubes OSなどの安全なオペレーティングシステムの一部の開発者によっても使用されています。
発見された脆弱性は、Xenバージョン4.8.x、4.7.x、4.6.x、4.5.x、および4.4.xに影響を及ぼします-4年以上製品コードに存在しています。 別の問題の修正の結果、2012年12月にコードのエラーが発生しました。
この脆弱性を使用して、ゲストオペレーティングシステムにアクセスできる攻撃者は、ホストマシン全体のメモリを「読み取る」ことができます。
自分を守る方法
Xen Projectチームは4月4日火曜日にパッチをリリースしました-脆弱なシステムに手動で適用する必要があります。 Xenは、ハードウェア（仮想仮想マシン、HVM）と準仮想化 （PV）の2種類の仮想マシンをサポートしています。 説明されている脆弱性は、64ビットの準仮想化ゲストシステムからのみ悪用される可能性があります。
したがって、Xenを使用するサービスプロバイダーとホスティングプロバイダーのすべてのユーザーが危険にさらされるわけではありません。 たとえば、アマゾンウェブサービスの管理者は 、サービスのクライアント、データセンター、仮想マシンはこの脆弱性の影響を受けないと述べたため、ユーザーは追加のアクションを行うべきではありません。 同時に、Linode仮想インフラストラクチャプロバイダーは 、エラーを修正するために、Xenで実行されているレガシーサーバーのいくつかを再起動することを余儀なくされました。
Xenを使用して仮想マシン内のアプリケーションを分離するQubes OSの開発者は、セキュリティ情報を公開しています。 Xenの脆弱性を悪用し、他のセキュリティエラー（ブラウザなど）を悪用すると、Qubesシステム全体が危険にさらされる可能性があると報告されています。 その結果、Qubes 3.1および3.2用のパッチがリリースされました。さらに、プロジェクトチームは、Qubes 4.0の次のリリースで準仮想化の使用を放棄する予定です。
仮想化システムが、攻撃者が仮想マシンの隔離されたゾーンを離れてホストシステムに入ることを可能にする脆弱性を見つけるのはこれが初めてではありません。 たとえば、2016年の秋に、情報セキュリティの専門家がVMware製品に脆弱性を発見し 、攻撃者が仮想マシンにアクセスしてホストシステムでコードを実行できるようになりました。