Lỗ hổng VENOM đe dọa nhiều nền tảng máy ảo

15:52 | 18/05/2015 | LỖ HỔNG ATTT

Trong quá trình đánh giá an toàn cho hệ thống máy ảo, Nhà nghiên cứu bảo mật Jason Geffne của Công ty an ninh mạng CrowdStrike (Mỹ) đã phát hiện ra lỗ hổng bảo mật VENOM gây ảnh hưởng đến hàng triệu máy ảo.

Lỗ hổng bảo mật VENOM (Virtual Environment Neglected Operations Manipulation) được định danh mã CVE-2015-3456 là một lỗ hổng ảnh hưởng đến trình điều khiển đĩa mềm (FDC-Floppy Disk Controller) trong QEMU (một bộ giả lập máy tính mã nguồn mở được sử dụng để quản lý máy ảo).

Các hệ thống khách liên lạc với FDC bằng cách gửi lệnh như: tìm kiếm, đọc, viết, định dạng…tới cổng vào/ra của FDC. FDC sử dụng một bộ đệm cố định kích thước để lưu trữ các lệnh này và các thông số dữ liệu liên quan. Các FDC theo dõi lượng dữ liệu cho mỗi lệnh và sau khi nhận được tất cả các dữ liệu từ hệ thống khách thì nó thực thi lệnh và xóa bộ đệm cho các lệnh tiếp theo. Việc thiết lập lại bộ đệm này được thực hiện ngay lập tức sau khi thực thi lệnh thành công.

Lỗ hổng VENOM cho phép gửi lệnh và những thông số dữ liệu đặc biệt từ hệ thống khách đến FDC gây tràn bộ đệm và thực thi mã tùy ý trong tiến trình hypervisor của thiết bị đầu cuối. Nó thực thi mã thông qua các lệnh FD_CMD_READ_ID, FD_CMD_DRIVE_SPECIFICATION_COMMAND và một số lệnh không xác định khác.

Theo CrowdStrike, hầu hết các lỗ hổng bảo mật trước đây của nền tảng máy ảo chỉ có thể bị khai thác khi máy ảo không có cấu hình mặc định hay các cấu hình không thể dùng trong môi trường bảo mật (CVE-2007-1744, CVE-2008-1244, CVE-2009-1244…). Một số lỗi khác chỉ gây nguy hiểm cho một nền tảng ảo hóa, hoặc kẻ tấn công không thể tùy ý thực thi mã gây hại. Tuy nhiên, lỗ hổng Venom lại đe dọa hàng loạt nền tảng máy ảo, ảnh hưởng các cấu hình mặc định, cho phép thực thi mã gây hại.

VENOM được đánh giá vô cùng nguy hiểm, bởi tin tặc có thể bị lợi dụng để truy cập vào các công ty, lấy cắp các dữ liệu cá nhân nhạy cảm, khả năng ảnh hưởng tới hàng nghìn tổ chức và hàng triệu người dùng phụ thuộc vào máy ảo để phân phối tài nguyên máy tính, cũng như kết nối, lưu trữ, bảo mật.

Nhiều nền tảng ảo hóa hiện đại bao gồm Xen, KVM và QEMU đều tồn tại lỗ hổngVENOM. Tuy nhiên, VMware, Microsoft Hyper-V và Bochs hypervisors không bị ảnh hưởng bởi lỗ hổng này.

Các nhà cung cấp đã nhanh chóng cung cấp bản vá lỗ hổng VENOM như: QEMU, Xen, Red Hat, Citrix, FireEye, Linode, Rackspace, Ubuntu, Debian, Suse, DigitalOcean, f5, Joyent, Liquid Web, UpCloud và Amazon.

Các nhà quản trị cần xem xét và áp dụng các bản vá lỗ hổng mới nhất cho hệ thống Xen, KVM, QEMU hoặc liên hệ với các nhà cung cấp dịch vụ để được hỗ trợ tốt nhất.

Lỗ hổng VENOM đe dọa nhiều nền tảng máy ảo

Phân tích lỗ hổng Venom theo hãng CrowdStrike

‹ › ×

Tin liên quan

Tấn công CacheOut làm lộ dữ liệu từ CPU Intel, máy ảo và vùng SGX

08:00 | 17/02/2020

Một lỗ hổng thực thi suy đoán (speculative execution) mới vừa được tìm thấy trong bộ xử lý Intel. Nếu máy tính đang chạy bất kỳ CPU Intel hiện đại nào được sản xuất trước tháng 10/2018, thì đều có khả năng cho phép kẻ tấn công làm lộ dữ liệu nhạy cảm từ nhân hệ điều hành, máy ảo và thậm chí từ vùng SGX được bảo mật của Intel.

Tin cùng chuyên mục

Tin tặc thu về 2 triệu USD nhờ bán lỗ hổng bảo mật Microsoft Outlook

13:00 | 31/10/2024

Từ đầu năm 2023 đến tháng 9/2024, các chuyên gia của hãng bảo mật Kaspersky đã phát hiện hơn 500 tin quảng cáo về công cụ Exploit để khai thác các lỗ hổng zero-day trên web đen và các kênh Telegram ẩn dạnh.

Hàng triệu xe ô tô Kia có thể bị tin tặc kiểm soát bằng cách quét biển số xe

13:00 | 07/10/2024

Các nhà nghiên cứu cho biết một lỗ hổng bảo mật khiến hàng triệu chiếc xe Kia sản xuất từ năm 2023 có thể bị chiếm quyền điều khiển, cho phép kẻ tấn công kiểm soát từ xa.

Giải mã phần mềm gián điệp mạng CloudSorcerer

10:00 | 16/08/2024

Vào tháng 5/2024, các nhà nghiên cứu của hãng bảo mật Kaspersky đã phát hiện ra một mối đe dọa APT mới nhắm vào các thực thể Chính phủ Nga. Được gọi là CloudSorcerer, đây là một công cụ gián điệp mạng tinh vi được sử dụng để theo dõi lén lút, thu thập dữ liệu và đánh cắp thông tin thông qua cơ sở hạ tầng đám mây Microsoft Graph, Yandex Cloud và Dropbox. Phần mềm độc hại này tận dụng các tài nguyên đám mây và GitHub làm máy chủ điều khiển và ra lệnh (C2), truy cập chúng thông qua API bằng mã thông báo xác thực. Bài viết này sẽ tiến hành phân tích và giải mã về công cụ gián điệp mạng này, dựa trên báo cáo mới đây của Kaspersky.

Vén màn chiến dịch sử dụng tiện ích độc hại Translatext nhắm vào Hàn Quốc

16:00 | 24/07/2024

Vào tháng 3/2024, các nhà nghiên cứu của công ty an ninh mạng Zscaler (Mỹ) đã quan sát thấy hoạt động xâm nhập mới từ nhóm tin tặc được Chính phủ Triều Tiên hậu thuẫn có tên là Kimsuky (hay còn gọi là APT43, Emerald Sleet và Velvet Chollima). Đặc biệt, Zscaler phát hiện một chiến dịch tấn công bởi các tin tặc Kimsuky sử dụng tiện ích mở rộng mới trên Google Chrome có tên gọi Translatext.