Anzeige

Sicherheitslücke in Xen

Python-Code lässt sich in Dom0 ausführen

Eine Sicherheitslücke in der Virtualisierungssoftware Xen ermöglicht dem Root-Nutzer einer virtuellen Maschine, beliebigen Python-Programmcode in der privilegierten Xen-Domäne auszuführen. Da verschiedene kommerzielle Virtualisierungslösungen auf Xen basieren, können diese auch betroffen sein.

Anzeige

Die Sicherheitsspezialisten von Secunia stufen die zumindest in Xen 3.0.3 vorhandene Sicherheitslücke jedoch als wenig kritisch ein, da ein potenzieller Angreifer über Root-Rechte in einer virtuellen Maschine verfügen muss. Dieser kann dann die Konfiguration des Bootloaders Grub manipulieren.

So lässt sich Python-Code in der privilegierten Domäne Dom0 ausführen, die vollen Zugriff auf die Hardware hat und den Gastsystemen (DomU) Ressourcen zuweist. Secunia empfiehlt als Lösung, nur vertrauenswürdigen Personen Root-Rechte in einer virtuellen Maschine zu geben - ein Update für Xen 3.0.3 gibt es noch nicht und es ist auch noch nicht klar, ob andere Xen-Versionen ebenfalls betroffen sind.

Da XenSource und Virtual Iron ebenfalls Produkte anbieten, die auf Xen basieren, könnten einige ihrer Versionen gleichfalls von der Sicherheitslücke betroffen sein.

Vor allem aber zeigt das aufgetauchte Problem, dass mit zunehmender Verbreitung von Virtualisierungssoftware auch hierin eher Fehler und Sicherheitslecks entdeckt werden. Erst kürzlich hatte VMware mehrere Sicherheits-Updates für seine Produktpalette veröffentlicht.


eye home zur Startseite
Siga 01. Okt 2007

Das ist bei einer sicheren Virtualisierung und Beschränkung der Ressourcen theoretisch...

se_ultimativ 01. Okt 2007

Man kann eine Virtuelle Maschine entweder direkt booten lassen (configfile in Dom0), oder...

Flying Circus 01. Okt 2007

Zitat: "Secunia empfiehlt als Lösung, nur vertrauenswürdigen Personen Root-Rechte in...

guest 01. Okt 2007

dummerweise ist grad das mit den vhosts die moeglichkeit, nicht vertrauenswuerdigen...

cb 01. Okt 2007

... Übertreiber :-D Das ist nichtmal bis zum nächsten Patch tot...

Kommentieren



Anzeige

  1. Entwicklungsingenieur/in im Bereich videobasierte Fahrerassistenzsysteme
    Robert Bosch GmbH, Leonberg
  2. Consultant / Senior Consultant LCA of Chemicals and Construction Products (m/w)
    thinkstep AG, Leinfelden-Echterdingen
  3. Mitarbeiter / innen IT-Service-Desk
    Landeshauptstadt München, München
  4. Diagnose Autor/in OES
    Robert Bosch GmbH, Plochingen

Detailsuche



Anzeige

Folgen Sie uns
       


  1. Skylake-R

    Intel veröffentlicht 65-Watt-Quadcores mit GT4e-Grafik

  2. Brasilien

    Whatsapp schon wieder blockiert

  3. Microsoft

    SQL Server 2016 steht ab dem 1. Juni bereit

  4. Netzpolitik

    Edward Snowden ist genervt

  5. Elektroauto

    BMW vergrößert die Reichweite des i3 deutlich

  6. Patentklagen

    Nvidia und Samsung legen Rechtsstreit bei

  7. 100 MBit/s

    Telekom-Chef nennt Diskussionskultur zu Vectoring vergiftet

  8. Flyboard Air

    Neuer Weltrekord im Hoverboarden

  9. Pre-Touch

    Microsofts neues Display reagiert vor der Berührung

  10. Mobilcom-Debitel

    DVB-T2 in 1080p wird Freenet TV heißen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Privacy-Boxen im Test: Trügerische Privatheit
Privacy-Boxen im Test
Trügerische Privatheit
  1. Kaspersky-Analyse Fast jeder Geldautomat lässt sich kapern
  2. Alphabay Darknet-Marktplatz leakt Privatnachrichten durch eigene API
  3. Verteidigungsministerium Ursula von der Leyen will 13.500 Cyber-Soldaten einstellen

LizardFS: Software-defined Storage, wie es sein soll
LizardFS
Software-defined Storage, wie es sein soll
  1. Security Der Internetminister hat Heartbleed
  2. Enterprise-IT Hunderte Huawei-Ingenieure haben an Telekom Cloud gearbeitet
  3. HPE Hyper Converged 380 Kleines System für das schnelle Erstellen von VMs

LG Minibeam im Test: Wie ein Beamer mein Begleiter wurde
LG Minibeam im Test
Wie ein Beamer mein Begleiter wurde
  1. Huawei P9 im Test Das Schwarz-Weiß-Smartphone
  2. HTC Vive im Test Zwei mal zwei Meter sind mehr, als man denkt
  3. Panono im Test Eine runde Sache mit ein paar Dellen

  1. Re: Deshalb bestelle ich so gut wie nie bei Amazon...

    Test_The_Rest | 06:59

  2. Re: ??

    John2k | 06:40

  3. Re: Wenn das in der Türkei passiert wäre...

    Marentis | 06:36

  4. Re: Ist so ein Gebaren auch aus Amazon USA bekannt..?

    Test_The_Rest | 06:36

  5. Re: Wozu für Werbe TV auch noch zahlen bloß wegen HD?

    Kakiss | 06:30


  1. 00:35

  2. 00:35

  3. 21:22

  4. 18:56

  5. 18:42

  6. 18:27

  7. 18:17

  8. 18:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel