En los últimos días, mucho se ha dicho y escrito en torno a la vulnerabilidad «Venom», recientemente divulgado.
Según comunicado en McAfee Labs, es importante entender plenamente la gravedad real de vulnerabilidades como Venom. Aunque la amenaza es potencialmente grave y sin duda interesante (que pertenece a una clase de escapes en las máquinas virtuales), uno tiene que tener en cuenta la magnitud de un existente ataque, mitigación y otros factores. En otras palabras, la «exposición» debe tenerse en cuenta cuando se habla de esto (o cualquiera) vulnerabilidad o ataque.
Vulnerabilidad
La vulnerabilidad Venom se refiere a una falla en el QEMU FDC (controlador de disquete), que se activa en la configuración por defecto de Xen y KVM de virtualización de plataformas. QEMU es un paquete de código abierto con la adopción generalizada, cuyo ámbito de aplicación no es totalmente cuantificable. Esta vulnerabilidad puede ser activada incluso en configuraciones en las que un dispositivo de disco flexible no está presente o configurado. La falla permite potencialmente a un atacante a la máquina virtual de acceder, acceder y controlar el host físicamente. Se trata de una vulnerabilidad de elevación de privilegios. En un entorno virtualizado donde el huésped puede controlar el host, esta amenaza adquiere un mayor impacto. En una actividad exitosa, el ataque podría potencialmente ejecutar códigos arbitrarios en el host subyacente, leer y monitorear el contenido de la memoria (datos sensibles de invitado VM), o invocar una denegación de servicio en el host (una vez más, que afectaría a todos los huéspedes).
Explotación
Un atacante debe tener acceso local/autenticada. Ahora, esto podría tomar muchas formas. Esto puede llevarse a cabo directamente si el atacante, por ejemplo, establece su propia instancia «en la nube» VM y directamente ejecuta un código de explotación en esa instancia. Puede también, potencialmente, hacerlo indirectamente si el atacante atrae a un usuario en una instancia basada en la nube VM para ejecutar código malicioso a través de una unidad de descarga de método similar. Aún tenemos que ver (a partir de esta presentación) cualquier método adicional en intentos basados en malware.
Exposición
Aquí es donde tenemos que pensar en la bases existente, mitigación, y otros factores que entran en juego. Amazon (AWS) y varios otros servicios han lanzado declaraciones diciendo que no son vulnerables. Otros proveedores (RackSpace) han publicado declaraciones con respecto a su proceso de aplicación de parches (la mayoría de los cuales parecen ser suficientes) y con cualquiera acciones restante deben ser tomadas por los usuarios. Así que debido a este defecto fue manejado de manera responsable y los vendedores afectados se les dió tiempo de reaccionar, una gran cantidad de mitigación ya ha tenido lugar, en gran medida lograr minimizar la superficie de los ataques expuestos.
Mitigación
Los parches están disponibles en Xen, QEMU, y otros que utilizan la tecnología afectada.
Xen: http://xenbits.xen.org/xsa/advisory-133.html
QEMU: http://git.qemu.org/?p=qemu.git;a=commitdiff;h=e907746266721f305d67bc0718795fedee2e824c
Intel y McAfee Labs de Seguridad continuarán analizando esta amenaza y así poder proporcionar actualizaciones como nuevos detalles que aparezcan.