Как баг в Linux может повлиять на виртуальную инфраструктуру

Эта статья является продолжением предыдущего поста «Как баг в Linux может повлиять на Windows-инфраструктуру«.

Виртуальная инфраструктура может быть в значительной степени базироваться на Windows, так как большинство виртуальных конечных точек будут (возможно) работать на Windows, в то время как гипервизор может (и, скорее всего, будет) на Linux. В этом случае она может быть подвержена атакам через уязвимую версию Bash (Shellshock, опять же).

Гипервизоры могут быть атакованы как извне, подобно любому другому ПК или серверу, так и изнутри — то есть хостом, работающим на этом гипервизоре. В первом случае злоумышленникам придется идентифицировать его в корпоративной сети.

Как баг в #Linux может повлиять на виртуальную инфраструктуру

Tweet

Во втором случае последовательность может выглядеть следующим образом:

а) Злоумышленник обнаруживает виртуальную машину на базе Windows, и захватывает ее с помощью фишинга или атаки по типу Waterholing (направленной ​​на юзера, конечно).

б) Захватив начальный плацдарм, злоумышленник может попытаться использовать так называемые уязвимости «побега из виртуальной машины» (например, CVE-2008-0923, CVE-2009-1244 и т.д.), вырвавшись из «изолированной» VM и взаимодействуя с хостовой ОС — т.е. с самим гипервизором. Это взаимодействие может происходить в виде вредоносной атаки, эксплуатирующей уязвимость Shellshock.

в) Получение доступа к гипервизору означает захват контроля над всеми другими виртуальными машинами, работающими на хосте. Поскольку гипервизор расположен между аппаратным оборудованием и гостевой операционной системой, злоумышленник получит возможность обойти меры контроля безопасности на виртуальной машине. На всех них, на самом деле.

Многоступенчатые атаки могут показаться сложными на первый взгляд, но ничего экзотического в них нет. Тот факт, что и Heartbleed, и Shellshock легко эксплуатировать, еще больше повышает риск воплощения таких сценариев в реальность.

В действительности производители решений виртуализации уже предусмотрели такие возможности.

VMware

VMware признала, что определенные продукты, а именно ESX 4.0 и 4.1, имеют уязвимую версию оболочки Bash, и рекомендовала установить патчи. Внесение исправлений в ряд виртуальных устройств, таких как vSphere Replication 5.8, которые работают на Linux, также рекомендуется.

Подробности доступны в этом бюллетене.

Xen

Citrix и XenProjectтакже признали возможную уязвимость в XenServer:

«В конфигурациях, где хост Citrix Xen Server настроен на использование DHCP для распределения адресов хоста, этот баг может позволить атакующему получить доступ к сети управления для компрометации хоста Citrix Xen Server».

Больше подробностей доступно в бюллетене Xen, а также в статье на сайте поддержки компании Citrix, посвященных проблеме Shellshock.

KVM

KVM предполагает использование Linux (Ubuntu, в частности) в качестве ОС гипервизора, что также означает возможную эксплуатируемость Shellshock. Для обеспечения безопасности используемые дистрибутивы Linux следует обновить.

Oracle

В своем специально посвященном Shellshock бюллетене безопасности Oracle признала, что Oracle VM версий 2.2, 3.0, 3.1, 3.2, 3.3 являются продуктами, подверженными Shellshock. Заметьте, что бюллетень был в последний раз обновлен 21 октября, и это тоже требует отдельного внимания.

Microsoft Azure

Это не решение на Linux, но Bash в нем все-таки может быть. На вопрос о возможном эксплойте Билал Алам, менеджер по партнерскому развитию компании Microsoft, из Azure Web Sites, ответил следующее:

«Azure Web Sites не подвержен ShellShock. Azure Web Sites использует IIS, как и наш веб-сервер, и мы не подставляем любую внешнюю анонимно-доступную конечную точку, которая подвержена/вызывает Bash.

Имейте в виду, что мы устанавливаем Bash в качестве компонента инсталляции нашей VM (она поставляется с Git). Но мы не даем ни единого вектора для дистанционного/анонимного доступа к оболочке. Мы намерены обновить Bash в целях предосторожности».

Захватив #гипервизор, злоумышленники получат контроль над всеми ВМ в системе. #security

Tweet

Опять-таки, требуется особое внимание к гипервизору. Недавно один знакомый ИТ-специалист рассказал нам о ситуации, с которой им пришлось иметь дело. Отказ гипервизора (по-видимому, аппаратная проблема) привел к обрушению всего парка виртуальных машин. Это не было связано с Shellshock и, скорее всего, не имеет ничего общего с любым типом вредоносных атак, но последствия были катастрофическими, хоть систему и удалось, в конечном счете, реанимировать.

В случае захвата гипервизора злоумышленники получат контроль над всем парком виртуальных машин, со всеми хранящимися на них данными, всем входящим и исходящим трафиком, и пр. Это совершенная позиция для кибершпионажа и всякой гадости, которой ни одной компании не пожелаешь.