Критическая уязвимость в гипервизоре Xen ставит под угрозу виртуализованные среды
В широко используемом гипервизоре Xen обнаружена уязвимость, которая позволяет атакующему выйти за пределы гостевой операционной системы, работающей на виртуальной машине, и получить доступ ко всей памяти хоста. Это серьезная брешь в барьере безопасности гипервизора, в особенности угрожающая многоарендным центрам обработки данных, в которых виртуализованные серверы клиентов работают на совместно используемом оборудовании. Xen применяется операторами облаков и поставщиками услуг хостинга виртуальных частных серверов.
Уязвимость присутствует в Xen версий от 4.4.x до 4.8.x. Она была внесена непреднамеренно в декабре 2012 года в процессе исправления другой проблемы. Разработчики Xen выпустили заплату, установка которой осуществляется вручную.
Использование бреши возможно только в 64-разрядных гостевых ОС, виртуализованных без использования аппаратных средств, поэтому не все виртуальные машины на основе Xen уязвимы. Например, в Amazon Web Services опубликовали информационный бюллетень, согласно которому брешь не затрагивает пользователей облака AWS, поэтому им не нужно ничего предпринимать. А в компании Linode, предоставляющей услуги хостинга виртуальных частных серверов, пришлось перезапустить некоторые системы после установки заплаты.
