VENOM je još gora ranjivost od Heartbleeda, poznati sigurnosni propust u OpenSSL-u iz kojeg razgovarali smo na ovom blogu. Utječe na GNU / Linux poslužitelje, a kao i kod Heartbleeda, podatke iz memorije poslužitelja možete daljinski dohvatiti bez odobrenja za pristup, VENOM je također sigurnosna prijetnja.
VENOM (CVE-2015-3456) nedavno je otkriven problem koji bi mogao utjecati na milijune poslužitelja i računala. Najgore je što je potrebno prisutna više od 11 godina i omogućuje udaljenom korisniku da iskoristi ovu ranjivost kako bi stekao pristup izvan virtualnog stroja. Otuda i njegovo ime, budući da je VENOM kratica za manipulaciju operacijama zanemarenim virtualnim okolišem.
s VENOM bi mogao zaobići ograničenje virtualnog stroja koji pruža uslugu i izravno djeluje sa stvarnim strojem za izvršavanje zlonamjernog koda na njemu, pristup drugim virtualnim strojevima koji su prisutni u sustavu, pristup drugim područjima podatkovne mreže itd.
Uzrok ovog problema je zastario, ali i dalje prisutan, kontroler diskete. Iako su diskete praktički zastarjele, i dalje se održavaju zbog povratne kompatibilnosti. Zapravo je zahvatio gotovo 95% sustava kao što su:
- RHEL 5.x, 6.x i 7.x
- CentOS Linux 5.x, 6.x, 7.x
- OpenStack 4, 5 (RHEL 6) i 5 i 6 (RHEL 7).
- Virtualizacija Red Hat Enterprise 3.
- Debian i drugi distros na temelju njega. Uključujući Ubuntu (12.04, 14,04, 14,10 i 15.04).
- SUSE Linux Enterprise Server 5, 6, 7, 10, 11, 12 (u svim servisnim paketima)
Da biste riješili ovaj problem VENOM, trebali biste redovito distribuirati svoju najnoviju sigurnosnu zakrpu. Također, ako koristite VirtualBox, morate ga ažurirati na verziju 4.3 ili noviju (kada izađu). Iako sustav neće trebati ponovno pokrenuti, virtualni strojevi morat će se ponovo pokrenuti da bi riješili problem.
također utječe na virtualne strojeve s QEMU, XEN, KVM i Citrixom. Ali to ne utječe na sustave za virtualizaciju tvrtke VMWare, Microsoftov Hyper-V, niti na BOCHS. Stoga budite u toku i u svom slučaju saznajte kako riješiti problem. Nadam se da je ovo poziv za uzbunu za programere, koji bi također trebali revidirati stari kôd kako se te stvari ne bi dogodile.