Pagetable-Sicherheitslücke: Ausbruch aus dem virtuellen Xen-Käfig

Eine Lücke im Xen-Hypervisor erlaubt einem Gastsystem, die Kontrolle über das komplette Host-System zu übernehmen. Hierfür wird die Speicherverwaltung ausgetrickst. Die Entwickler der Qubes-Distribution üben heftige Kritik an Xen.

Artikel veröffentlicht am , Hanno Böck
Tut das Xen-Projekt zu wenig in Sachen Sicherheit? Das finden zumindest die Entwickler von Qubes.
Tut das Xen-Projekt zu wenig in Sachen Sicherheit? Das finden zumindest die Entwickler von Qubes. (Bild: Xen)

Das Xen-Projekt hat Patches bereitgestellt, mit denen eine Reihe von Sicherheitslücken behoben wurde. Eine davon - von Xen im Advisory XSA-148 behandelt - ist besonders kritisch, denn sie erlaubt es einem Gastsystem, das komplette Host-System zu übernehmen.

Sieben Jahre unentdeckt

Der fehlerhafte Code war seit sieben Jahren in Xen vorhanden und steckt in Funktionen zur Verwaltung sogenannter Superpages. Mittels einiger Tricks kann ein Angreifer Schreibzugriff auf einen Pagetable des Hostsystems erhalten. Damit kann ein Angreifer dann nach Belieben Speicher auslesen und schreiben und somit aus dem Gastsystem ausbrechen.

Joanna Rutkowska und Marek Marczykowski-Górecki, beide Entwickler des Qubes-Betriebssystems, das auf Xen zur Isolation von Nutzerprozessen setzt, üben in einem eigenen Security-Advisory heftige Kritik. "Es beunruhigt uns, dass in den letzten sieben Jahren so viel Aufwand und Entwicklung in das Hinzufügen neuer Features geflossen ist, jedoch gab es keine ernsthaften Bemühungen, die Sicherheit von Xen effektiv zu verbessern", so das Qubes-Advisory. Es sei nicht akzeptabel, dass so häufig sicherheitskritische Bugs in einem so alten und etablierten System wie Xen auftauchen.

Tatsächlich wurden in jüngerer Zeit immer wieder kritische Lücken in Xen gefunden, aber auch andere Virtualisierungssysteme blieben davon nicht verschont. Im Frühjahr plagte eine Lücke namens Venom im Diskettentreiber sowohl Xen als auch KVM. Im vergangenen Jahr sorgte eine Lücke namens XSA-108 für einiges Aufsehen, da Amazon Tage davor allen Kunden einen Reboot der Server angekündigt hatte. Allerdings stellte sich dabei heraus, dass die Lücke deutlich weniger kritisch als erwartet war.

Neun Lücken geschlossen

Insgesamt haben die Xen-Entwickler neun Sicherheitslücken geschlossen. Allen Nutzern von Xen ist dringend anzuraten, Updates so schnell wie möglich zu installieren. Das Update wurde vor einigen Tagen bereits angekündigt.

Amazon teilte seinen Kunden mit, dass AWS-Nutzer von den Lücken nicht betroffen sind. Ob das bedeutet, dass Amazon die Lücken bereits vorab gepatcht hatte oder andere Gründe hat, geht aus der Ankündigung nicht hervor. Einige Firmen, die Xen professionell einsetzen, erhalten vorab Informationen über noch nicht veröffentlichte Sicherheitslücken über eine interne Mailingliste.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
JPEG XL
Die Browserhersteller sagen nein zum Bildformat

JPEG XL ist das überlegene Bildformat. Aber Chrome und Firefox brechen die Implementierung ab. Wir erklären das Format und schauen auf die Gründe für die Ablehnung.
Eine Analyse von Boris Mayer

JPEG XL: Die Browserhersteller sagen nein zum Bildformat
Artikel
  1. Walking Simulator: Gameplay von The Day Before erntet Spott
    Walking Simulator
    Gameplay von The Day Before erntet Spott

    Nach Betrugsvorwürfen haben die Entwickler von The Day Before nun Gameplay veröffentlicht - das nicht besonders gut ankommt.

  2. Lasertechnik: Hoffnung auf Femtosekundenlaser für die Hosentasche
    Lasertechnik
    Hoffnung auf Femtosekundenlaser für die Hosentasche

    An der Universität Yale wurde ein Titan-Saphir-Laser auf einem Chip erzeugt und fortgeschrittene Lasertechnik auf Millimetergröße geschrumpft.

  3. Knockout City: Drei Games-as-a-Service weniger in einer Woche
    Knockout City
    Drei Games-as-a-Service weniger in einer Woche

    Rumbleverse, Apex Legends Mobile und Knockout City: Innerhalb weniger Tage heißt es Game Over für drei bekannte Multiplayerspiele.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Mindfactory DAMN-Deals: Grakas, CPUs & Co. • HTC Vice 2 Pro Full Kit 899€ • RAM-Tiefstpreise • Amazon-Geräte bis -50% • Samsung TVs bis 1.000€ Cashback • Corsair HS80 7.1-Headset -42% • PCGH Cyber Week • Samsung Curved 27" WQHD 267,89€ • Samsung Galaxy S23 vorbestellbar [Werbung]
    •  /