Lỗ hổng VENOM đe dọa nhiều nền tảng máy ảo

15:52 | 18/05/2015 | LỖ HỔNG ATTT

Trong quá trình đánh giá an toàn cho hệ thống máy ảo, Nhà nghiên cứu bảo mật Jason Geffne của Công ty an ninh mạng CrowdStrike (Mỹ) đã phát hiện ra lỗ hổng bảo mật VENOM gây ảnh hưởng đến hàng triệu máy ảo.

Lỗ hổng bảo mật VENOM (Virtual Environment Neglected Operations Manipulation) được định danh mã CVE-2015-3456 là một lỗ hổng ảnh hưởng đến trình điều khiển đĩa mềm (FDC-Floppy Disk Controller) trong QEMU (một bộ giả lập máy tính mã nguồn mở được sử dụng để quản lý máy ảo).

Các hệ thống khách liên lạc với FDC bằng cách gửi lệnh như: tìm kiếm, đọc, viết, định dạng…tới cổng vào/ra của FDC. FDC sử dụng một bộ đệm cố định kích thước để lưu trữ các lệnh này và các thông số dữ liệu liên quan. Các FDC theo dõi lượng dữ liệu cho mỗi lệnh và sau khi nhận được tất cả các dữ liệu từ hệ thống khách thì nó thực thi lệnh và xóa bộ đệm cho các lệnh tiếp theo. Việc thiết lập lại bộ đệm này được thực hiện ngay lập tức sau khi thực thi lệnh thành công.

Lỗ hổng VENOM cho phép gửi lệnh và những thông số dữ liệu đặc biệt từ hệ thống khách đến FDC gây tràn bộ đệm và thực thi mã tùy ý trong tiến trình hypervisor của thiết bị đầu cuối. Nó thực thi mã thông qua các lệnh FD_CMD_READ_ID, FD_CMD_DRIVE_SPECIFICATION_COMMAND và một số lệnh không xác định khác.

Theo CrowdStrike, hầu hết các lỗ hổng bảo mật trước đây của nền tảng máy ảo chỉ có thể bị khai thác khi máy ảo không có cấu hình mặc định hay các cấu hình không thể dùng trong môi trường bảo mật (CVE-2007-1744, CVE-2008-1244, CVE-2009-1244…). Một số lỗi khác chỉ gây nguy hiểm cho một nền tảng ảo hóa, hoặc kẻ tấn công không thể tùy ý thực thi mã gây hại. Tuy nhiên, lỗ hổng Venom lại đe dọa hàng loạt nền tảng máy ảo, ảnh hưởng các cấu hình mặc định, cho phép thực thi mã gây hại.

VENOM được đánh giá vô cùng nguy hiểm, bởi tin tặc có thể bị lợi dụng để truy cập vào các công ty, lấy cắp các dữ liệu cá nhân nhạy cảm, khả năng ảnh hưởng tới hàng nghìn tổ chức và hàng triệu người dùng phụ thuộc vào máy ảo để phân phối tài nguyên máy tính, cũng như kết nối, lưu trữ, bảo mật.

Nhiều nền tảng ảo hóa hiện đại bao gồm Xen, KVM và QEMU đều tồn tại lỗ hổngVENOM. Tuy nhiên, VMware, Microsoft Hyper-V và Bochs hypervisors không bị ảnh hưởng bởi lỗ hổng này.

Các nhà cung cấp đã nhanh chóng cung cấp bản vá lỗ hổng VENOM như: QEMU, Xen, Red Hat, Citrix, FireEye, Linode, Rackspace, Ubuntu, Debian, Suse, DigitalOcean, f5, Joyent, Liquid Web, UpCloud và Amazon.

Các nhà quản trị cần xem xét và áp dụng các bản vá lỗ hổng mới nhất cho hệ thống Xen, KVM, QEMU hoặc liên hệ với các nhà cung cấp dịch vụ để được hỗ trợ tốt nhất.

Lỗ hổng VENOM đe dọa nhiều nền tảng máy ảo

Phân tích lỗ hổng Venom theo hãng CrowdStrike

‹ › ×

Tin liên quan

Tấn công CacheOut làm lộ dữ liệu từ CPU Intel, máy ảo và vùng SGX

08:00 | 17/02/2020

Một lỗ hổng thực thi suy đoán (speculative execution) mới vừa được tìm thấy trong bộ xử lý Intel. Nếu máy tính đang chạy bất kỳ CPU Intel hiện đại nào được sản xuất trước tháng 10/2018, thì đều có khả năng cho phép kẻ tấn công làm lộ dữ liệu nhạy cảm từ nhân hệ điều hành, máy ảo và thậm chí từ vùng SGX được bảo mật của Intel.

Tin cùng chuyên mục

Phát hiện phần mềm gián điệp mới được Nga và Trung Quốc triển khai

08:00 | 20/12/2024

Các nhà nghiên cứu tại hãng bảo mật di động Lookout (Mỹ) mới đây đã phát hiện ba công cụ gián điệp mới trên thiết bị Android do các tổ chức được nhà nước bảo trợ có tên lần lượt là BoneSpy, PlainGnome và EagleMsgSpy để theo dõi và đánh cắp dữ liệu từ các thiết bị di động.

Tin tặc Salt Typhoon tấn công các công ty viễn thông bằng phần mềm độc hại GhostSpider mới

14:00 | 06/12/2024

Các nhà nghiên cứu của Công ty an ninh mạng Trend Micro (Nhật Bản) cho biết, nhóm tin tặc do nhà nước Trung Quốc hậu thuẫn là Salt Typhoon đã sử dụng backdoor GhostSpider mới trong các cuộc tấn công vào các nhà cung cấp dịch vụ viễn thông.

Phân tích plugin DeepData trong phần mềm gián điệp LightSpy

14:00 | 27/11/2024

Công ty an ninh mạng BlackBerry (Canada) cho biết, nhóm tin tặc APT41 của Trung Quốc đứng sau phần mềm độc hại LightSpy iOS đã mở rộng bộ công cụ của chúng bằng DeepData, một framework khai thác mô-đun trên Windows, được sử dụng để thu thập nhiều loại thông tin từ các thiết bị mục tiêu. Bài viết này sẽ tìm hiểu về các plugin DeepData dựa trên báo cáo của BlackBerry.

CISA cảnh báo về lỗ hổng Apache HugeGraph-Server đang bị khai thác

13:00 | 30/09/2024

Cơ quan Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) đã thêm 5 lỗ hổng vào danh mục Các lỗ hổng đã biết bị khai thác (KEV), trong đó có lỗ hổng thực thi mã từ xa (RCE) ảnh hưởng đến Apache HugeGraph-Server.