В развиваемом проектом QEMU коде эмуляции подсистемы IDE выявлена (http://openwall.com/lists/oss-security/2015/07/27/3) критическая уязвимость (CVE-2015-5154), позволяющая инициировать выполнения кода вне гостевого окружения через передачу специально оформленных команд ATAPI. Уязвимость проявляется в системах x86, работающих в режиме виртуализации с полной эмуляцией оборудования, таких как HVM-окружения Xen, VirtualBox и QEMU/KVM, при включении доступа к виртуальному CD-ROM из гостевой системы. В системах с паравиртуализацией и на архитектуре ARM уязвимость не проявляется.
В случае успешной атаки злоумышленник, имеющий права root в гостевой системе, может выполнить произвольный код на стороне хост-системы с правами драйверов QEMU (обычно root, а при запуске в режиме stubdomain (qemu-dm) под отдельным непривилегированным пользователем). Проблема вызвана переполнением кучи в коде обработки доступа к буферу ввода/вывода в подсистеме IDE и проявляется при обработке некоторых команд ATAPI.
Для оперативного устранения проблемы в QEMU подготовлен патч (http://lists.nongnu.org/archive/html/qemu-devel/2015-07/msg0...). Обновления пакетов с устранением уязвимости уже выпущены для RHEL (https://rhn.redhat.com/errata/RHSA-2015-1507.html), CentOS (http://lists.centos.org/pipermail/centos-announce/2015-July/...), SLES (https://www.suse.com/support/update/announcement/2015/suse-s...) и openSUSE (http://lists.opensuse.org/opensuse-security-announce/2015-07...). Оценить появление обновлений в других дистрибутивах можно на следующих страницах: Ubuntu (http://www.ubuntu.com/usn/), Debian (https://lists.debian.org/debian-security-announce/2015/threa...), Fedora (https://admin.fedoraproject.org/updates/), Slackware (http://www.slackware.com/security/list.php?l=slackware-secur...), Gentoo (http://www.gentoo.org/security/en/index.xml), FreeBSD (http://www.vuxml.org/freebsd/), NetBSD (http://www.netbsd.org/support/security/). В качестве обходного пути защиты в RHEL/CentOS предлагается использовать sVirt и seccomp для ограничения привилегий процесса QEMU и ограничение доступа к ресурсам. В Ubuntu в конфигурации по умолчанию при использовании QEMU с libvirt применяется дополнительная изоляция при помощи AppArmor.Дополнительно сообщается (https://rhn.redhat.com/errata/RHSA-2015-1507.html) об исправлении в RHEL ещё одной связанной с драйверами QEMU уязвимости (CVE-2015-3214), позволяющей привилегированному пользователю гостевой системы при редком стечении обстоятельств инициировать выполнение кода в окружении хост-системы. Проблема проявляется в системах с активированным PIT-режимом эмуляции QEMU и вызвана утечкой информации через функцию pit_ioport_read()
URL: http://openwall.com/lists/oss-security/2015/07/27/3
Новость: http://www.opennet.me/opennews/art.shtml?num=42676
Кто-о ещё использует x86?
Да.
ни разу не видел х86 сервер для виртуалок за последние несколько лет.
Причем тут сервер?
х86-сервера не самые распространённые?
> Счастье в неведении…Поскольку это был не просто безграмотный комментарий, а явный вброс с заданным противопоставлением -- удалено на основании п.6 http://wiki.opennet.ru/ForumHelp
PS: в смысле #3
Для тех, кто в танке - это как: "Проблема вызвана переполнением кучи в коде"? Что за куча?
Никогда не видели куч (или хотя бы кучек) в коде ?
https://ru.wikipedia.org/wiki/%D0%9A%D1%...
use Proxmox
Что, в нём какой-то свой особенный QEMU?
В общем, да. В нём ещё больше непофикшеных багов. В чём-то аффтар вброса прав.
Внезапно: там тоже QEMU.
Чувак, ты не поверишь ))
Ну что из того, что есть бага, позволяющая поднять привилегии до рута, а если у меня нет пользователей, проходящих аутенфикацию на консоли, так что мне теперь делать, баг вроде есть, а у меня на серваке его не задействоать
Вот откуда вы такие неграмотные на технические форумы лезете? Чел внутри KVMной виртуалки может выполнить любой код на гипервизоре с правами root. Так понятнее? Ему не надо никуда логиниться на твоем гипервизоре.
Ты это Опеннет техническим назвал? Ну-ну.
Нео выбрался из матрицы!
> Нео выбрался из матрицы!Перезагрузка же.
А что АНБ или какая-то религия мешает дистрам Линукс собирать пакеты с опциями компиляции gcc: -fstack-protector и -fstack-protector-allТак можно сразу закрыть ВСЕ переполнения на куче! https://wiki.gentoo.org/wiki/Hardened/Toolchain#The_Stack_Sm...
передай своим родителям, что зря они от аборта отказались.
Не знаю, о каких дистрах вы говорите, а в RHEL и Fedora все собирается с -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4Только это же не панацея.