VENOM je ještě horší zranitelnost než Heartbleed, slavná bezpečnostní chyba v OpenSSL, ze které mluvili jsme v tomto blogu. Ovlivňuje servery GNU / Linux a stejně jako u Heartbleed můžete načíst informace z paměti serveru na dálku bez oprávnění k přístupu, VENOM je také bezpečnostní hrozbou.
VENOM (CVE-2015-3456) je nedávno objevený problém, který by mohl ovlivnit miliony serverů a počítačů. Nejhorší je, že to trvá současnosti více než 11 let a umožňuje vzdálenému uživateli tuto chybu zabezpečení zneužít k získání přístupu mimo virtuální počítač. Odtud také jeho název, protože VENOM je zkratka pro manipulaci s operacemi zanedbávaného provozu virtuálního prostředí.
s VENOM mohl obejít limit virtuálního počítače který poskytuje službu a pracuje přímo se skutečným strojem, aby na něm spustil škodlivý kód, přistupoval k dalším virtuálním strojům přítomným v systému, přistupoval k dalším oblastem datové sítě atd.
A příčinou tohoto problému je zastaralý, ale stále přítomný, disketová jednotka. Přestože jsou diskety prakticky zastaralé, je stále udržován z důvodu zpětné kompatibility. Ve skutečnosti to ovlivnilo téměř 95% systémů, jako jsou:
- RHEL 5.x, 6.xa 7.x
- CentOS Linux 5.x, 6.x, 7.x
- OpenStack 4, 5 (RHEL 6) a 5 a 6 (RHEL 7).
- Virtualizace Red Hat Enterprise 3.
- Debian a další distribuce na něm založené. Včetně Ubuntu (12.04, 14,04, 14,10 a 15.04).
- SUSE Linux Enterprise Server 5, 6, 7, 10, 11, 12 (ve všech svých aktualizacích Service Pack)
Chcete-li vyřešit tento problém VENOM, měli byste svou distribuci udržovat co nejaktuálnější pomocí nejnovějších bezpečnostních oprav. Pokud používáte VirtualBox, musíte jej aktualizovat na verzi 4.3 nebo vyšší (až vyjdou). I když systém nebude nutné restartovat, bude třeba restartovat virtuální počítače, aby se problém vyřešil.
také ovlivňuje virtuální stroje s QEMU, XEN, KVM a Citrix. Ale neovlivňuje to virtualizační systémy od VMWare, Hyper-V od Microsoftu, ani to neovlivňuje BOCHS. Zůstaňte tedy informovaní a ve svém případě zjistěte, jak problém vyřešit. Doufám, že se jedná o buzení pro vývojáře, kteří by měli také auditovat starý kód, aby se tyto věci nestaly.