Exploit che compromettono l’host partendo da bug nella guest machine, in ambienti virtualizzati, ce ne sono da qualche anno, anche disponibili in quel magnifico framework che è Metasploit.
Recentemente CrowdStrike ha scoperto un bug che affligge un driver, apparentemente innocuo, presente in determinati ambienti virtualizzati: il driver per la gestione del vetusto floppy disk. Lo sfruttamento del bug permette di avere accesso all’ hypervisor dell’host e potenzialmente mettere in condizione di avere accesso a tutta l’infrastruttura virtualizzata dell’organizzazione. L’ architettura di questo attacco, chiamato Venom, è stata descritta molto chiaramente dal team di CrowdStrike:
Tale bug affligge numerose piattaforme di virtualizzazione come Xen, KVM e QEMU, non sono invece impattate le piattaforme di VMware e di Microsoft. Da notare che la vulnerabilità è agnostica sia al sistema operativo del guest che dell’host e l’attacco potrà essere portato a buon fine solo disponendo di accesso amministrativo/root sulla macchina guest.
La differenza sostanziale di questo bug rispetto ad altri, che comunque permettevano l’escape dalla virtual machine, è che questi ultimi avevano valenza in ambienti configurati in maniera particolare. Questo, invece, è presente in tutte le virtual machine create in configurazione di default, oltretutto anche se l’amministratore disabilita il floppy disk dalla virtual machine, un ulteriore bug causa il fatto che il codice resti attivo e sfruttabile.
Da notare che il bug è presente fin dal 2004, anno in cui il driver di gestione del floppy disk è stato aggiunto alla codebase di QEMU.
Come ci si protegge da questo bug ? Sicuramente installando le patch messe a disposizione dai vendors. Per maggiori dettagli è stato creato un dettagliato CVE.
Alto biondo e ricciolino, ecco esattamente il contrario.
Lascia un commento