Anzeige

Sicherheitslücke in Xen

Python-Code lässt sich in Dom0 ausführen

Eine Sicherheitslücke in der Virtualisierungssoftware Xen ermöglicht dem Root-Nutzer einer virtuellen Maschine, beliebigen Python-Programmcode in der privilegierten Xen-Domäne auszuführen. Da verschiedene kommerzielle Virtualisierungslösungen auf Xen basieren, können diese auch betroffen sein.

Anzeige

Die Sicherheitsspezialisten von Secunia stufen die zumindest in Xen 3.0.3 vorhandene Sicherheitslücke jedoch als wenig kritisch ein, da ein potenzieller Angreifer über Root-Rechte in einer virtuellen Maschine verfügen muss. Dieser kann dann die Konfiguration des Bootloaders Grub manipulieren.

So lässt sich Python-Code in der privilegierten Domäne Dom0 ausführen, die vollen Zugriff auf die Hardware hat und den Gastsystemen (DomU) Ressourcen zuweist. Secunia empfiehlt als Lösung, nur vertrauenswürdigen Personen Root-Rechte in einer virtuellen Maschine zu geben - ein Update für Xen 3.0.3 gibt es noch nicht und es ist auch noch nicht klar, ob andere Xen-Versionen ebenfalls betroffen sind.

Da XenSource und Virtual Iron ebenfalls Produkte anbieten, die auf Xen basieren, könnten einige ihrer Versionen gleichfalls von der Sicherheitslücke betroffen sein.

Vor allem aber zeigt das aufgetauchte Problem, dass mit zunehmender Verbreitung von Virtualisierungssoftware auch hierin eher Fehler und Sicherheitslecks entdeckt werden. Erst kürzlich hatte VMware mehrere Sicherheits-Updates für seine Produktpalette veröffentlicht.


Siga 01. Okt 2007

Das ist bei einer sicheren Virtualisierung und Beschränkung der Ressourcen theoretisch...

se_ultimativ 01. Okt 2007

Man kann eine Virtuelle Maschine entweder direkt booten lassen (configfile in Dom0), oder...

Flying Circus 01. Okt 2007

Zitat: "Secunia empfiehlt als Lösung, nur vertrauenswürdigen Personen Root-Rechte in...

guest 01. Okt 2007

dummerweise ist grad das mit den vhosts die moeglichkeit, nicht vertrauenswuerdigen...

cb 01. Okt 2007

... Übertreiber :-D Das ist nichtmal bis zum nächsten Patch tot...

Kommentieren



Anzeige

  1. ERP-Basis Administrator (m/w)
    Kendrion (Villingen) GmbH, Villingen-Schwenningen
  2. IT-Release Projektmanager Cross-Channel SAFe (m/w)
    Media-Saturn IT Services GmbH, Ingolstadt
  3. Entwicklungsingenieur/in
    Robert Bosch GmbH, Leonberg
  4. Softwareentwickler SPS / Experte (m/w) für elektrische Antriebe
    Schiller Automation GmbH & Co. KG, Sonnenbühl-Genkingen

Detailsuche


Top-Angebote
  1. NUR HEUTE: Xbox One 500 GB Konsole 2015 + Halo 5: Guardians - Limited Edition + Halo 5 Sammelkarte
    299,00€
  2. NUR HEUTE: SanDisk Ultra 128-GB-microSDXC 139733
    39,00€ inkl. Versand
  3. NUR HEUTE: GIGABYTE GA-Z170X-UD3 Mainboard (Sockel 1151)
    129,90€ + 4,95€ Versand

Weitere Angebote


Folgen Sie uns
       


  1. Darpa

    Schnelle Drohnen fliegen durch Häuser

  2. Mattel und 3Doodler

    3D-Druck für Kinder

  3. Adobe Creative Cloud

    Adobe-Update löscht Daten auf dem Mac

  4. Verschlüsselung

    Thüringens Verfassungsschutzchef Kramer verlangt Hintertüren

  5. Xeon D-1571

    Intel veröffentlicht sparsamen Server-Chip mit 16 Kernen

  6. Die Woche im Video

    Sensationen und Skandale

  7. Micron

    Von 1Y-/1Z-DRAM-, 3D-Flash- und 3D-Xpoint-Plänen

  8. Hochbahn

    Hamburger Nahverkehr bekommt bald kostenloses WLAN

  9. ViaSat Joint Venture

    Eutelsat wird schnelleres Satelliten-Internet bieten

  10. SSDs

    Micron startet Serienfertigung von 3D-NAND-Flash



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Howto: Windows-Boot-Partitionen mit Veracrypt absichern
Howto
Windows-Boot-Partitionen mit Veracrypt absichern
  1. Verschlüsselung Nach Truecrypt kommt Veracrypt

Time Lab: Großes Kino
Time Lab
Großes Kino
  1. Forscher des IIS Sensoren am Körper bald ganz selbstverständlich
  2. Arbeitsschutz Deutscher Roboter schlägt absichtlich Menschen

Lockdown befürchtet: Die EU verbietet freie Router-Software - oder doch nicht?
Lockdown befürchtet
Die EU verbietet freie Router-Software - oder doch nicht?
  1. Captive Portals Ein Workaround, der bald nicht mehr funktionieren wird
  2. Die Woche im Video Mensch verliert gegen Maschine und iPhone verliert Wachstum
  3. WLAN-Störerhaftung Freifunker machen gegen Vorschaltseite mobil

  1. Re: Desaströse IT

    mikehak | 00:45

  2. Re: das offensichtliche fehlt: Lautstärke

    Zeroslammer | 00:28

  3. Re: Jetzt noch austauschbare Standardakkus

    IT-pr0fi | 00:26

  4. Re: das wird

    Eheran | 00:25

  5. Warum muss man sich erst nachdem bereits...

    Pjörn | 00:23


  1. 14:35

  2. 13:25

  3. 12:46

  4. 11:03

  5. 09:21

  6. 09:03

  7. 00:24

  8. 18:25


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel