Xen Hypervisor面向第三个高度关键的VM逃生错误10个月 为什么AT&T的5G演变不是真的5G 微软:过去的补丁地址泄露了NSA漏洞利用 来自新兴科技的首席执行官速率生产力“非常低” Gov.uk验证的麻烦传奇 CityFibre背带泵2.5亿英镑进入全纤维宽带 如何观看今晚的Nintendo Direct 我们正在玩《战锤40,000》:Twitch上的“太空狼”在BST下午5点/ PDT上午9点 神奇宝贝:让我们去省钱会在Smash Bros.Ultimate中为您带来巨大的收益 《动物穿越》中所有海洋生物的完整列表:新视野[更新] 本周热门Nintendo Switch和3DS游戏-(12月7日) 3款适用于Super Smash Bros.Ultimate的新GameCube控制器可以预订 形状移位机器人可能是行星勘探的关键 机器人为荷兰邮政服务提供节省 Quantumum Coctptocte一项重大挑战,专家 中小企业使用金融气对抗在线巨人,但担心仍然存在 每周包装:三星希望将页面与Galaxy S8转动 IBM和Red Hat Mega-Merger:谁能受益最多? DHS的ICS-Cert警告Brickerbot:IOT Malware将拨打易位设备 kimble推出a.i.-启用的psa - 流行语或创新? 政府尚未招聘首席数据官 Linux基金会为构建区块链商业网络开发工具 Elon Musk的下一个冒险可以用电脑链接人体大脑 面试:米奇斯泰纳,董事总经理,Innogy Innovation Hub以色列 十大东盟故事2018年 修补程序将基于英特尔的PC与Enterprise Bug推出下周 报告发现,威尔士NHS IT计划是“过时”,并将患者放在风险上,发现 McAfee研究人员发现“重要”间谍活动 在《最终幻想水晶编年史》中需要朋友吗?在这里分享您的密码并免费玩完整版游戏! BAFTA得主Spectrum Retreat下周来到Switch 神奇宝贝口袋妖怪:皮卡丘,走吧!伊芙,走吧! 完整的行尸走肉系列即将登陆Nintendo Switch Simogo令人惊叹的Sayonara Wild Hearts赛车明年将转向 McAfee研究人员发现“重要”间谍活动 Facebook启动了捕获360视频内部VR内部的工具 148个应用汇总Sisyphos,Best Fiends等 动物穿越每天要做的10件事:新视野 迪迪·孔将于今年9月加入马里奥网球王牌 2020年8月的6大最佳Switch游戏 官方《刺猬索尼克》原声带背后的编码器发布了《 Sonic 3&Knuckles》概念验证 这项免费的Overcooked 2内容更新可为假期加油 吸血鬼来到Nintendo Switch时可以杀死骗子并抽血 如何拆开Switch底座并构建一个较小的底座 十月动物穿越中的所有新近和现存的鱼类,虫子和海洋生物:新视野 新的《口袋妖怪盾牌和剑》详细信息包括加拉利形式和对手 Oceanhorn 2完整演练第5部分-所有功率范围,地下Prita信标,Firebird老板解决方案 关键Xen虚拟机管理程序漏洞危及虚拟化环境 Micron今年晚些时候发货英特尔Optane竞争对手 为什么亚波柱管理员和邮局在高等法院争取它 Platinum的动漫动作游戏Astral Chain看起来像地狱一样恶心
您的位置:首页 >运维 >

Xen Hypervisor面向第三个高度关键的VM逃生错误10个月

Xen Project在其广泛使用的虚拟机管理程序中固定了三种漏洞,可以允许在虚拟机内运行的操作系统访问主机系统的内存,在其中打破关键安全层。

只有两个修补的漏洞只能在某些条件下剥削,这限制了它们在潜在攻击中的使用,但是一个是一个高度可靠的缺陷,对客户“虚拟化服务器共享相同的基础硬件的多租户数据中心构成严重威胁。

缺陷Don“T但是CVE跟踪号码,但是被称为XSA-213,XSA-214和XSA-215的三个Xen安全建议。

“XSA-213是Xen的致命,可靠的可利用错误,”QUBES OS的安全团队,一个隔离Xen虚拟机中的应用程序的操作系统。“在QUBES OS项目的近八年历史中,我们已经意识到这一口径的四个错误:XSA-148,XSA-182,XSA-212和现在XSA-213。“

在这四个非常关键且易于利用漏洞中,在过去的10个月内发现并修补了过去的两个月,在过去的一个月里,XSA-182于2016年7月修正,XSA-212于周二XSA-213 。

另一个共性是,所有的共性都影响了半虚拟化(PV)VM的Xen内存虚拟化。Xen支持两种类型的虚拟机:硬件虚拟机(HVMS)使用硬件辅助虚拟化和使用基于软件的虚拟化的半虚拟化VM。

周二修补的其他两个缺陷,XSA-214和XSA-215,也会影响半虚拟化VM。不同之处在于XSA-214需要两个恶意客人VM来协同工作以便访问系统内存,而XSA-215仅影响“X86系统,物理内存延伸到5TB或3.5TB的配置相关边界”。

XSA-213的一个限制是它只能从64位PV访客中利用,因此仅运行HVM或32位PV客户的系统不受影响。

Xen开发人员发布了Xen 4.8.x,Xen 4.7.x,Xen 4.6.x和Xen 4.5.x的修补程序,可以手动应用于受影响的系统。

许多云计算提供商和虚拟专用服务器(VPS)托管公司使用的开源Xen管理程序,其中一些托管公司提前收到了修补程序,并被迫安排维护下降时间。

例如,VPS提供商Linode必须重新启动其一些遗留Xen PV主机,以便应用FIX并建议客户移动到基于HVM的服务器,以避免将来的下降时间。

与此同时,亚马逊网络服务表示,其客户“数据和实例不受这些漏洞的影响,并且不需要客户行动。

QUBES OS团队以建立最安全的桌面操作系统之一的QUBES OS团队已经足以反复处理Xen PV漏洞。这就是为什么,在过去的10个月中,它已经换取了额外的工作来将OS - QUBES 4.0 - Qubes 4.0 - 到HVM的下一个版本。

“我们最初希望在所谓的虚拟化模式中转换到运行所有Linux虚拟机,其中I / O仿真器根本不需要,但它结果为Linux内核不是准备好的,” QUBES团队在分析了最新的Xen补丁时表示。“所以,在QUBES 4.0中,我们将使用经典的HVM模式,其中I / O仿真器在......一个PV VM(也是在QUBES 3.x上运行Windows Appvms时的情况)。”

好消息是,当Linux内核增加所需的支持时,将来将Qubes切换到PVH,甚至完全用其他东西替换Xen,如果更好的替代方案。

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。