Llegamos a ustedes gracias a:



Alertas de Seguridad

El Proyecto Xen repara tres vulnerabilidades

De escape de máquinas virtuales

[08/05/2017] El Proyecto Xen ha reparado tres vulnerabilidades en su ampliamente utilizado hipervisor, las cuales podrían permitir que los sistemas operativos que se ejecutan dentro de las máquinas virtuales accedan a la memoria de los sistemas host, rompiendo así la capa de seguridad crítica entre ellos.

Dos de las vulnerabilidades que se han parchado pueden explotarse solamente bajo ciertas condiciones, lo cual limita su uso en posibles ataques, pero una de ellas es una falla altamente confiable que plantea una grave amenaza a los centros de datos multiusuario donde los servidores virtualizados de los clientes comparten el mismo hardware.

Las fallas aún no tienen números de seguimiento CVE, pero se encuentran cubiertas por tres avisos de seguridad de Xen llamados XSA-213, XSA-214 y XSA-215.

"XSA-213 es una falla fatal, confiable y explotable en Xen, afirmó el equipo de seguridad de Qubes OS, un sistema operativo que aísla las aplicaciones dentro de las máquinas virtuales Xen. "En los casi ocho años de historia del proyecto Qubes OS, nos hemos dado cuenta de cuatro fallas de este calibre: XSA-148, XSA-182, XSA-212 y ahora XSA-213.

De estas cuatro vulnerabilidades altamente críticas y fácilmente explotables, tres han sido encontradas y parchadas en los últimos 10 meses y dos en el último mes -XSA-182 fue reparada en julio de 2016, XSA-212 en abril y XSA-213 el martes.

Otra similitud es que todas ellas afectaban la virtualización de la memoria de Xen para las máquinas virtuales (VM, por sus siglas en inglés) paravirtualizadas (PV). Xen soporta dos tipos de máquinas virtuales: Hardware Virtual Machines (HVM, por sus siglas en inglés), que utilizan la virtualización asistida por hardware y VM paravirtualizadas que usan la virtualización basada en software.

Las otras dos fallas parchadas el martes, XSA-214 y XSA-215, también afectan a las VM paravirtualizadas. La diferencia es que la XSA-214 requiere de dos máquinas virtuales huéspedes maliciosas para trabajar juntos para acceder a la memoria del sistema, mientras que la XSA-215 solo afecta a los "sistemas x86 con memoria física que se extiende hasta un límite dependiente de la configuración de 5TB o 3,5TB.

Una limitación para la XSA-213 es que se puede sólo ser explotada desde huéspedes PV de 64 bits, por lo que los sistemas que ejecutan sólo HVM o huéspedes PV de 32 bits no son afectados.

Los desarrolladores de Xen lanzaron parches para Xen 4.8.x, Xen 4.7.x, Xen 4.6.x y Xen 4.5x que pueden ser aplicados manualmente a los sistemas afectados.

El hipervisor Xen de código abierto es utilizado por muchos proveedores de computación en la nube y compañías de alojamiento virtual private server (VPS), algunas de las cuales recibieron los parches de antemano y se vieron obligados a programar paradas de mantenimiento.