Xen Project a corrigé plusieurs vulnérabilités dans son célèbre hyperviseur, dont une pouvant permettre à des attaquants potentiels de prendre le contrôle du système sur lequel il est installé. Les vulnérabilités cassant la couche d'isolation entre machines virtuelles sont les plus sérieuses pour un logiciel de virtualisation comme Xen, dont le principal objectif est d'autoriser le fonctionnement de multiples VM sur un même matériel de façon sécurisée.
Les patchs publiés jeudi par Xen corrigent un total de neuf vulnérabilités, mais celle qui accorde un privilège d'escalade, CVE-2015-7835, est la plus sérieuse. Elle découle non pas d'une erreur de programmation traditionnelle mais d'une faille logique sur la façon dont Xen implémente la virtualisation de mémoire pour les VM paravirtualisées. La paravirtualisation est une technique qui permet la virtualisation sur les processeurs centraux ne supportant pas la virtualisation assistée sur matériel.
Les versions 3.4 et supérieures de l'hyperviseur Xen concernées
En tant que tel, la faille peut seulement être exploitée par des administrateurs malveillants d'hôtes paravirtualisés, et seulement sur les systèmes x86, a indiqué Xen Project dans une note. Les versions 3.4 et supérieures de Xen sont vulnérables. Cette vulnérabilité, qui existe depuis 7 ans, est « probablement la pire jamais vue ayant affectée l'hyperviseur Xen », a fait savoir l'équipe de sécurité de Qubes OS Project. Qubes OS repose sur Xen pour compartimenter différentes tâches exécutées par des utilisateurs pour accroître la sécurité.
« C'est vraiment choquant qu'un tel bug ait pu se dissimuler dans le coeur de l'hyperviseur depuis autant d'années », a aussi indiqué Qubes. « Selon nous, le projet Xen devrait repenser les lignes directrices de leur code et essayer de revenir avec des pratiques et peut être des mécanismes supplémentaires qui ne permettraient plus jamais à de telles failles de sévir dans l'hyperviseur. Sinon, l'ensemble du projet n'a pas de sens, du moins pour ceux qui voudraient utiliser Xen pour des travaux nécessitant de la sécurité. »
@Visiteur7180
Signaler un abusSi il y a valeur ajouté par la virtualisation.
On sépare les rôles sur des VM. Si une VM est touchée par un problème de sécurité, on l'isole et le reste du SI continue a fonctionner
Une de découverte et de comblée - quid des autres ? Quand vous essayez d'expliquer aux PME/PMI que la virtualisation n'est pas forcément un bon choix, et qu'on peut souvent faire durer du vieux matériel plus longtemps, on vous rit quasiment au nez ! Et c'est encore pire quand vous expliquez à des DSI/DRI qu'un serveur GNU/Linux permet aujourd'hui de faire travailler les employés indépendamment sous GNU/Linux ou Windows pour un prix < 1000€ : ils croient que vous vous foutez de leur gueule ! Ce pays brille réellement par un niveau nullissime de vision large. Et la mode de la virtualisation rentre parfaitement dans ce cadre : accroître la complexité du SI pour rendre le client 100% dépendant, mais sans apporter au final une réelle valeur ajoutée... Pourtant, à l'heure où microsoft fait le con, et exige désormais deux serveurs pour une solution basique - ce qui est un non sens absolu - il serait peut-être temps d'arrêter les conneries.
Signaler un abus