Sicherheitslücke in Xen

Python-Code lässt sich in Dom0 ausführen

Eine Sicherheitslücke in der Virtualisierungssoftware Xen ermöglicht dem Root-Nutzer einer virtuellen Maschine, beliebigen Python-Programmcode in der privilegierten Xen-Domäne auszuführen. Da verschiedene kommerzielle Virtualisierungslösungen auf Xen basieren, können diese auch betroffen sein.

Anzeige

Die Sicherheitsspezialisten von Secunia stufen die zumindest in Xen 3.0.3 vorhandene Sicherheitslücke jedoch als wenig kritisch ein, da ein potenzieller Angreifer über Root-Rechte in einer virtuellen Maschine verfügen muss. Dieser kann dann die Konfiguration des Bootloaders Grub manipulieren.

So lässt sich Python-Code in der privilegierten Domäne Dom0 ausführen, die vollen Zugriff auf die Hardware hat und den Gastsystemen (DomU) Ressourcen zuweist. Secunia empfiehlt als Lösung, nur vertrauenswürdigen Personen Root-Rechte in einer virtuellen Maschine zu geben - ein Update für Xen 3.0.3 gibt es noch nicht und es ist auch noch nicht klar, ob andere Xen-Versionen ebenfalls betroffen sind.

Da XenSource und Virtual Iron ebenfalls Produkte anbieten, die auf Xen basieren, könnten einige ihrer Versionen gleichfalls von der Sicherheitslücke betroffen sein.

Vor allem aber zeigt das aufgetauchte Problem, dass mit zunehmender Verbreitung von Virtualisierungssoftware auch hierin eher Fehler und Sicherheitslecks entdeckt werden. Erst kürzlich hatte VMware mehrere Sicherheits-Updates für seine Produktpalette veröffentlicht.


Siga 01. Okt 2007

Das ist bei einer sicheren Virtualisierung und Beschränkung der Ressourcen theoretisch...

se_ultimativ 01. Okt 2007

Man kann eine Virtuelle Maschine entweder direkt booten lassen (configfile in Dom0), oder...

Flying Circus 01. Okt 2007

Zitat: "Secunia empfiehlt als Lösung, nur vertrauenswürdigen Personen Root-Rechte in...

guest 01. Okt 2007

dummerweise ist grad das mit den vhosts die moeglichkeit, nicht vertrauenswuerdigen...

cb 01. Okt 2007

... Übertreiber :-D Das ist nichtmal bis zum nächsten Patch tot...

Kommentieren



Anzeige

  1. IT Solution Architect (m/w)
    evosoft GmbH, Nürnberg
  2. IT Spezialist Serversysteme im Microsoft Umfeld (m/w)
    ADAC e.V., München
  3. Referent (m/w) IT (Projekt- und Portfoliomanagement)
    Amprion GmbH, Dortmund
  4. Senior Consultant / Technical Architect (m/w) für Adobe Experience Manager (CQ / AEM)
    über Randstad Deutschland GmbH, Bonn

 

Detailsuche


Blu-ray-Angebote
  1. The Dark Knight (Steelbook) (exklusiv bei Amazon.de) [Blu-ray] [Limited Edition]
    14,99€
  2. 4 Blu-rays für 30 EUR
    (u. a. Avatar, 96 Hours, Pretty Woman, Lord of War, Die Bücherdiebin)
  3. Mystic River (Steelbook) (exklusiv bei Amazon.de) [Blu-ray] [Limited Edition]
    14,99€ - Release 28.05.

 

Weitere Angebote


Folgen Sie uns
       


  1. Internetballons

    Start von Project Loon rückt näher

  2. Digitale Audio Workstation

    Ardour 4.0 läuft unter Windows

  3. Hydradock

    Elf Ports für das Macbook 12

  4. Ramstein

    USA sollen Drohnenkrieg von Deutschland aus steuern

  5. GTA 5 im Technik-Test

    So sieht eine famose PC-Umsetzung aus

  6. 3D-Drucker

    Makerbot entlässt 20 Prozent seiner Mitarbeiter

  7. Negativauszeichnung

    Lauschende Barbie erhält Big Brother Award

  8. Bemannte Raumfahrt

    Russland will bis 2023 eigene Raumstation bauen

  9. Windows 10 für Smartphones

    Office-Universal-App kommt noch im April

  10. Keine Science-Fiction

    Mit dem Laser gegen Weltraumschrott



Haben wir etwas übersehen?

E-Mail an news@golem.de



Google Handschrifteingabe im Hands on: App erkennt sogar krakelige Handschriften
Google Handschrifteingabe im Hands on
App erkennt sogar krakelige Handschriften
  1. MTCast für Android Mediathek-Cast-App kehrt nicht in den Play Store zurück
  2. Parkpocket App hilft bei der Parkplatzsuche
  3. Screenpop Neuer Messenger schickt Fotos direkt auf Sperrbildschirm

P8 im Hands On: Huawei setzt auf die Kamera
P8 im Hands On
Huawei setzt auf die Kamera
  1. Huawei P8 Max Riesen-Smartphone mit 6,8-Zoll-Display kostet 550 Euro
  2. Netzwerk und Smartphone Huawei verdient 4,5 Milliarden US-Dollar
  3. Neue Kirin-Prozessoren Nächstes Google Nexus soll von Huawei kommen

Vorratsdatenspeicherung: Das erste Placebo mit Nebenwirkungen
Vorratsdatenspeicherung
Das erste Placebo mit Nebenwirkungen
  1. Überwachung Telekom begrüßt Speicherdauer der Vorratsdatenspeicherung
  2. Vorratsdatenspeicherung Regierung will Verkehrsdaten zehn Wochen lang speichern
  3. Asyl für Snowden Bundesregierung bestreitet Drohungen der USA

  1. Re: So sieht eine viel zu späte PC-Umsetzung aus

    kelzinc | 02:22

  2. Re: Hätte Apple ein vernünftiges Gerät gebaut...

    fokka | 02:12

  3. Re: Gibt es GTA5 auch auf Deutsch?

    Luebke | 02:11

  4. Re: So ein Quatsch

    fokka | 02:05

  5. Dito

    Luu | 02:03


  1. 17:54

  2. 16:33

  3. 15:56

  4. 13:37

  5. 12:00

  6. 11:05

  7. 22:59

  8. 15:13


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel