• IT-Karriere:
  • Services:

Pagetable-Sicherheitslücke: Ausbruch aus dem virtuellen Xen-Käfig

Eine Lücke im Xen-Hypervisor erlaubt einem Gastsystem, die Kontrolle über das komplette Host-System zu übernehmen. Hierfür wird die Speicherverwaltung ausgetrickst. Die Entwickler der Qubes-Distribution üben heftige Kritik an Xen.

Artikel veröffentlicht am , Hanno Böck
Tut das Xen-Projekt zu wenig in Sachen Sicherheit? Das finden zumindest die Entwickler von Qubes.
Tut das Xen-Projekt zu wenig in Sachen Sicherheit? Das finden zumindest die Entwickler von Qubes. (Bild: Xen)

Das Xen-Projekt hat Patches bereitgestellt, mit denen eine Reihe von Sicherheitslücken behoben wurde. Eine davon - von Xen im Advisory XSA-148 behandelt - ist besonders kritisch, denn sie erlaubt es einem Gastsystem, das komplette Host-System zu übernehmen.

Sieben Jahre unentdeckt

Stellenmarkt
  1. auticon, verschiedene Standorte
  2. ROMA KG, Burgau

Der fehlerhafte Code war seit sieben Jahren in Xen vorhanden und steckt in Funktionen zur Verwaltung sogenannter Superpages. Mittels einiger Tricks kann ein Angreifer Schreibzugriff auf einen Pagetable des Hostsystems erhalten. Damit kann ein Angreifer dann nach Belieben Speicher auslesen und schreiben und somit aus dem Gastsystem ausbrechen.

Joanna Rutkowska und Marek Marczykowski-Górecki, beide Entwickler des Qubes-Betriebssystems, das auf Xen zur Isolation von Nutzerprozessen setzt, üben in einem eigenen Security-Advisory heftige Kritik. "Es beunruhigt uns, dass in den letzten sieben Jahren so viel Aufwand und Entwicklung in das Hinzufügen neuer Features geflossen ist, jedoch gab es keine ernsthaften Bemühungen, die Sicherheit von Xen effektiv zu verbessern", so das Qubes-Advisory. Es sei nicht akzeptabel, dass so häufig sicherheitskritische Bugs in einem so alten und etablierten System wie Xen auftauchen.

Tatsächlich wurden in jüngerer Zeit immer wieder kritische Lücken in Xen gefunden, aber auch andere Virtualisierungssysteme blieben davon nicht verschont. Im Frühjahr plagte eine Lücke namens Venom im Diskettentreiber sowohl Xen als auch KVM. Im vergangenen Jahr sorgte eine Lücke namens XSA-108 für einiges Aufsehen, da Amazon Tage davor allen Kunden einen Reboot der Server angekündigt hatte. Allerdings stellte sich dabei heraus, dass die Lücke deutlich weniger kritisch als erwartet war.

Neun Lücken geschlossen

Insgesamt haben die Xen-Entwickler neun Sicherheitslücken geschlossen. Allen Nutzern von Xen ist dringend anzuraten, Updates so schnell wie möglich zu installieren. Das Update wurde vor einigen Tagen bereits angekündigt.

Amazon teilte seinen Kunden mit, dass AWS-Nutzer von den Lücken nicht betroffen sind. Ob das bedeutet, dass Amazon die Lücken bereits vorab gepatcht hatte oder andere Gründe hat, geht aus der Ankündigung nicht hervor. Einige Firmen, die Xen professionell einsetzen, erhalten vorab Informationen über noch nicht veröffentlichte Sicherheitslücken über eine interne Mailingliste.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (Spiele bis zu 90% reduziert)
  2. ab 30,00€
  3. (aktuell u. a. Xiaomi Mi Note 10 128GB Handy für 499,00€ und HP 25x LED-Monitor für 179,90€)
  4. (u. a. Battlefield V für 21,49€ und Star Wars Jedi: Fallen Order für 52,99€)

Bigfoo29 30. Okt 2015

Ich stimme ja zu, dass ein Fokus auf "mehr Features" vs. "mehr Sicherheit" bei vielen...


Folgen Sie uns
       


Datenbasierte Archäologie im DAI

Idai World ist ein System, um archäologische Daten aufzubereiten und online zugänglich zu machen. Benjamin Ducke vom Deutschen Archäologischen Institut stellt es vor.

Datenbasierte Archäologie im DAI Video aufrufen
Tesla-Fabrik in Brandenburg: Remote, Germany
Tesla-Fabrik in Brandenburg
Remote, Germany

Elon Musk steht auf Berlin, doch industrielle Großprojekte sind nicht die Stärke der Region. Ausgerechnet in die Nähe der ewigen Flughafen-Baustelle BER will Tesla seine Gigafactory 4 platzieren. Was spricht für und gegen den Standort Berlin/Brandenburg?
Eine Analyse von Dirk Kunde

  1. Gigafactory Tesla soll 4 Milliarden Euro in Brandenburg investieren
  2. 7.000 Arbeitsplätze Tesla will Gigafactory bei Berlin bauen
  3. Irreführende Angaben Wettbewerbszentrale verklagt Tesla wegen Autopilot-Werbung

Mi Note 10 im Kamera-Test: Der Herausforderer
Mi Note 10 im Kamera-Test
Der Herausforderer

Im ersten Hands on hat Xiaomis Fünf-Kamera-Smartphone Mi Note 10 bereits einen guten ersten Eindruck gemacht, jetzt ist der Vergleich mit anderen Smartphones dran. Dabei zeigt sich, dass es einen neuen, ernstzunehmenden Konkurrenten unter den besten Smartphone-Kameras gibt.
Von Tobias Költzsch

  1. Mi Note 10 im Hands on Fünf Kameras, die sich lohnen
  2. Xiaomi Neues Redmi Note 8T mit Vierfachkamera kostet 200 Euro
  3. Mi Note 10 Xiaomis neues Smartphone mit 108 Megapixeln kostet 550 Euro

Indiegames-Rundschau: Der letzte Kampf des alten Cops
Indiegames-Rundschau
Der letzte Kampf des alten Cops

Rollenspiel deluxe mit einem abgehalfterten Polizisten in Disco Elysium, unmöglich-verdrehte Architektur in Manifold Garden und eine höllische Feier in Afterparty: Golem.de stellt die aktuellen Indiegames vor.
Von Rainer Sigl

  1. Indiegames-Rundschau Killer trifft Gans
  2. Indiegames-Rundschau Überleben im Dschungel und tausend Tode im Dunkeln
  3. Indiegames-Rundschau Epische ASCII-Abenteuer und erlebnishungrige Astronauten

    •  /