Abo
  • Services:
Anzeige
Tut das Xen-Projekt zu wenig in Sachen Sicherheit? Das finden zumindest die Entwickler von Qubes.
Tut das Xen-Projekt zu wenig in Sachen Sicherheit? Das finden zumindest die Entwickler von Qubes. (Bild: Xen)

Pagetable-Sicherheitslücke: Ausbruch aus dem virtuellen Xen-Käfig

Tut das Xen-Projekt zu wenig in Sachen Sicherheit? Das finden zumindest die Entwickler von Qubes.
Tut das Xen-Projekt zu wenig in Sachen Sicherheit? Das finden zumindest die Entwickler von Qubes. (Bild: Xen)

Eine Lücke im Xen-Hypervisor erlaubt einem Gastsystem, die Kontrolle über das komplette Host-System zu übernehmen. Hierfür wird die Speicherverwaltung ausgetrickst. Die Entwickler der Qubes-Distribution üben heftige Kritik an Xen.

Anzeige

Das Xen-Projekt hat Patches bereitgestellt, mit denen eine Reihe von Sicherheitslücken behoben wurde. Eine davon - von Xen im Advisory XSA-148 behandelt - ist besonders kritisch, denn sie erlaubt es einem Gastsystem, das komplette Host-System zu übernehmen.

Sieben Jahre unentdeckt

Der fehlerhafte Code war seit sieben Jahren in Xen vorhanden und steckt in Funktionen zur Verwaltung sogenannter Superpages. Mittels einiger Tricks kann ein Angreifer Schreibzugriff auf einen Pagetable des Hostsystems erhalten. Damit kann ein Angreifer dann nach Belieben Speicher auslesen und schreiben und somit aus dem Gastsystem ausbrechen.

Joanna Rutkowska und Marek Marczykowski-Górecki, beide Entwickler des Qubes-Betriebssystems, das auf Xen zur Isolation von Nutzerprozessen setzt, üben in einem eigenen Security-Advisory heftige Kritik. "Es beunruhigt uns, dass in den letzten sieben Jahren so viel Aufwand und Entwicklung in das Hinzufügen neuer Features geflossen ist, jedoch gab es keine ernsthaften Bemühungen, die Sicherheit von Xen effektiv zu verbessern", so das Qubes-Advisory. Es sei nicht akzeptabel, dass so häufig sicherheitskritische Bugs in einem so alten und etablierten System wie Xen auftauchen.

Tatsächlich wurden in jüngerer Zeit immer wieder kritische Lücken in Xen gefunden, aber auch andere Virtualisierungssysteme blieben davon nicht verschont. Im Frühjahr plagte eine Lücke namens Venom im Diskettentreiber sowohl Xen als auch KVM. Im vergangenen Jahr sorgte eine Lücke namens XSA-108 für einiges Aufsehen, da Amazon Tage davor allen Kunden einen Reboot der Server angekündigt hatte. Allerdings stellte sich dabei heraus, dass die Lücke deutlich weniger kritisch als erwartet war.

Neun Lücken geschlossen

Insgesamt haben die Xen-Entwickler neun Sicherheitslücken geschlossen. Allen Nutzern von Xen ist dringend anzuraten, Updates so schnell wie möglich zu installieren. Das Update wurde vor einigen Tagen bereits angekündigt.

Amazon teilte seinen Kunden mit, dass AWS-Nutzer von den Lücken nicht betroffen sind. Ob das bedeutet, dass Amazon die Lücken bereits vorab gepatcht hatte oder andere Gründe hat, geht aus der Ankündigung nicht hervor. Einige Firmen, die Xen professionell einsetzen, erhalten vorab Informationen über noch nicht veröffentlichte Sicherheitslücken über eine interne Mailingliste.


eye home zur Startseite
Bigfoo29 30. Okt 2015

Ich stimme ja zu, dass ein Fokus auf "mehr Features" vs. "mehr Sicherheit" bei vielen...



Anzeige

Stellenmarkt
  1. OPITZ CONSULTING Deutschland GmbH, verschiedene Standorte
  2. Rohde & Schwarz Cybersecurity GmbH, Berlin
  3. MBtech Group GmbH & Co. KGaA, Stuttgart
  4. AKDB, München


Anzeige
Spiele-Angebote
  1. 3,99€
  2. 42,49€
  3. (u. a. Far Cry Primal Digital Apex Edition 22,99€, Total War: WARHAMMER 16,99€ und Total War...

Folgen Sie uns
       


  1. Fahrdienst

    London stoppt Uber, Protest wächst

  2. Facebook

    Mark Zuckerberg lenkt im Streit mit Investoren ein

  3. Merged-Reality-Headset

    Intel stellt Project Alloy ein

  4. Teardown

    Glasrückseite des iPhone 8 kann zum Problem werden

  5. E-Mail

    Adobe veröffentlicht versehentlich privaten PGP-Key im Blog

  6. Die Woche im Video

    Schwachstellen, wohin man schaut

  7. UAV

    Matternet startet Drohnenlieferdienst in der Schweiz

  8. Joint Venture

    Microsoft und Facebook verlegen Seekabel mit 160 Terabit/s

  9. Remote Forensics

    BKA kann eigenen Staatstrojaner nicht einsetzen

  10. Datenbank

    Börsengang von MongoDB soll 100 Millionen US-Dollar bringen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Kein App Store mehr: iOS-Nutzer sollten das neue iTunes nicht installieren
Kein App Store mehr
iOS-Nutzer sollten das neue iTunes nicht installieren
  1. Apple iOS 11 Wer WLAN und Bluetooth abschaltet, benutzt es weiter
  2. Drei Netzanbieter warnt vor Upgrade auf iOS 11
  3. Betriebssystem Apple veröffentlicht Goldmaster für iOS, tvOS und WatchOS

Inspiron 5675 im Test: Dells Ryzen-Gaming-PC reicht mindestens bis 2020
Inspiron 5675 im Test
Dells Ryzen-Gaming-PC reicht mindestens bis 2020
  1. Android 8.0 im Test Fertig oder nicht fertig, das ist hier die Frage
  2. Logitech Powerplay im Test Die niemals leere Funk-Maus
  3. Polar vs. Fitbit Duell der Schlafexperten

Energieversorgung: Windparks sind schlechter gesichert als E-Mail-Konten
Energieversorgung
Windparks sind schlechter gesichert als E-Mail-Konten
  1. Optimierungsprogramm Ccleaner-Malware sollte wohl Techkonzerne ausspionieren
  2. Messenger Wire-Server steht komplett unter Open-Source-Lizenz
  3. Apache Struts Monate alte Sicherheitslücke führte zu Equifax-Hack

  1. Re: Endlich remove für Streams

    Das... | 21:44

  2. Re: Der starke Kleber

    ArcherV | 21:44

  3. Re: Vodafone ist schlimm - Unitymedia funktioniert

    Silberfan | 21:37

  4. Re: Typich das Veralten der Massen

    violator | 21:19

  5. Re: wie kommt ihr darauf, dass QI bei anderen...

    Silberfan | 21:18


  1. 15:37

  2. 15:08

  3. 14:28

  4. 13:28

  5. 11:03

  6. 09:03

  7. 17:43

  8. 17:25


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel