Comments 26
Отмечу, что в отличие от зимней чудовищной проблемы sg_dd гипервизора KVM, когда эксплоит был доступен сразу и позволял уничтожить все данные на кластере с одной виртуальной машины, для XEN эксплоита еще нет, а первые патчи уже появились.
На логотипом вижу запарились, красочный вышел.
За развитием событий в gentoo можно следить в этом баге.
Круто. Кажется, в ближайшие дни я буду сильно занят…
Новость просто класс. Хорошо, что пачти быстрее эксплойтов появились.
UFO just landed and posted this here
Совместный скорее. Проблеме подвержены 64-разрядные хост-системы на процессорах Intel. Проблема связана с возможностью создания условий для генерации исключения в неподходящем состоянии процессора в процессе возврата из системного вызова sysret.
Аналогичная проблема обнаружена и во FreeBSD:
www.securityfocus.com/archive/1/523076/30/0/threaded
т.е. речь идет о проблемах работы конкретного ПО с определенными процессорами.
www.securityfocus.com/archive/1/523076/30/0/threaded
т.е. речь идет о проблемах работы конкретного ПО с определенными процессорами.
Скорее всего Интела. Список подверженных уязвимости систем: http://www.kb.cert.org/vuls/id/649219
<grammar_nazi>Вообще, правильно писать Зен!</grammar_nazi>
Уязвимость, в первую очередь, Интела — в разделении доступа между кольцами привилегий. А далее по цепочке уже оказались уязвимыми системы, которые используют этот механизм для разграничения досупа — Xen PV, MS Windows, FreeBSD.
Ну ничего, бывает. Патчи уже есть, сегодня накатим.
Ну ничего, бывает. Патчи уже есть, сегодня накатим.
Дык перегружаться надо будет
Это да, перезагрузка. Дел на 5 минут, но красивый аптайм потеряется.
Хотя там чуть изменений в коде гипервизора, в api ничего не меняется, версии не меняются. Так что формально, можно было бы обойтись и без перезагрузки — обновлять поочередно хосты и мигрировать виртмашины на обновленные.
В больших масштабах, правда, чревато разными непредвиденными глюками, так что мы лишний раз рисковать не будем и всех мягко зашатдауним.
В больших масштабах, правда, чревато разными непредвиденными глюками, так что мы лишний раз рисковать не будем и всех мягко зашатдауним.
Если оперативки много, томиграция может подвесить машину.
La ололо как прыгает при живой миграции.
А вы дожидаться стабильных обновлений не будете? Зачем патчить-то
La ололо как прыгает при живой миграции.
А вы дожидаться стабильных обновлений не будете? Зачем патчить-то
Debian что-то тормозят с обновлением, а в апстрим патч уже вошел. В xen-devel еще несколько патчей по более мелким уязвимостям выложены. Мы патч посмотрели, ни с чем debian-specific он не кофликтует, а собираем мы все-равно с своими доделками из deb-src. Так что для нас нет большого смысла ждать, пока не появится родной дебиановский апдейт.
Уязвимость серьезная. Сейчас пока публичного эксплоита еще не видна, но, судя по патчу, это вопрос малого времени. Я, конечно, считаю, что большинство клиентов — люди благоразумные и не начнут его применять из спортивного интереса. Но нет никаких гарантий от того, что у кого-то из них не взломана машина, через которую было бы удобно поломать и соседей.
Уязвимость серьезная. Сейчас пока публичного эксплоита еще не видна, но, судя по патчу, это вопрос малого времени. Я, конечно, считаю, что большинство клиентов — люди благоразумные и не начнут его применять из спортивного интереса. Но нет никаких гарантий от того, что у кого-то из них не взломана машина, через которую было бы удобно поломать и соседей.
Пардон, не то копипастнул: blog.xen.org/index.php/2012/06/13/the-intel-sysret-privilege-escalation/
Sign up to leave a comment.
Критическая уязвимость XEN