[INFO] [PUBLICATION] VENOM : la faille qui permet de s'échapper d'un environnement virtualisé

Même si les supports disquette sont depuis bien longtemps inutilisés, le contrôleur mit en place reste lui encore activé par défaut dans les environnements de virtualisation. S’ajoute à cela une erreur de conception au sein de Xen et QEMU impliquant que le code vulnérable reste actif même si un administrateur souhaite désactiver ce contrôleur de disquette.

L’exploitation de cette vulnérabilité permettait en échappant au confinement d’une machine virtuelle, d’atteindre l’hyperviseur, les autres machines virtuelles gérées par cet hyperviseur, voire tout autre système pouvant être accessible depuis cet hôte.

Cette méthode s’exploite de la façon suivante :

* Le système d’exploitation (virtualisé) communique avec le contrôleur de la disquette avec des commandes telles que : seek, read, write, et format sur le port d’entrée-sortie du contrôleur.
* Ce dernier s’attend à des paramètres d’une taille définie qu’il associe avec une commande, l’exécute puis attend la commande suivante.
* La remise à zéro du tampon des commandes est faite immédiatement après le traitement de celle-ci. Sauf pour deux commandes où il est alors possible avec des paramètres spécialement conçus de dépasser la taille du tampon et d’exécuter du code arbitraire sur la machine hôte.

Remarque : il faut cependant au préalable avoir les droits administrateurs afin de pouvoir communiquer avec ce contrôleur.

L’impact de cette vulnérabilité est toutefois atténué si la bibliothèque de virtualisation libvirt est utilisée pour gérer les machines virtuelles utilisant QEMU. Les processus de virtualisation s’exécutent alors avec l’utilisateur libvirt-qemu dont l’accès aux ressources système est limité et ne permet pas au pirate d’étendre son attaque. À cela peut s’ajouter un profil « AppArmor » qui limite significativement l’impact de cette vulnérabilité.

Note : aucune attaque n’a pour l’instant était recensée, cette vulnérabilité a été rendue publique le 13 mai 2015.

Note 2 : il est possible pour les superviseurs KVM et Xen de corriger la vulnérabilité sans nécessiter un redémarrage de la machine hôte, suivre pour cela les recommandations
disponibles à l’adresse suivante : http://www.venomfix.com/