L’hypervisor per la virtualizzazione Xen è affetto da una falla che potrebbe portare a violare le altre VM residenti sul server e al crash del server stesso
Un bug non da poco ha colpito Xen, l’hypervisor di virtualizzazione scelto da molti grandi provider di cloud computing pubblico come Amazon AWS, Rackspace, Verizon Cloud e tanti altri.
Il bug è stato rivelato in questi giorni, dopo un periodo di embargo della notizia dalla diffusione pubblica. Settimana scorsa, il team Xen aveva già condiviso privatamente la scoperta del bug e la patch con alcune grandi organizzazioni, selezionate dal Xen Security Team sulla base di una serie di criteri pubblici stabiliti dalla Xen Project Community.
Lo stesso team ha chiesto a queste aziende di applicare velocemente e in completa discrezione la patch fornita, senza diffondere pubblicamente il pericolo, per evitare di allertare anche le community di cybercriminali che avrebbero potuto sfruttare la falla a scopi malevoli.
Così, gruppi del calibro di Amazon AWS e Rackspace sono stati costretti a eseguire un reboot dei cloud server della propria infrastruttura. Amazon ha confermato che solo il 10 percento dei suoi EC2 server risultavano affetti dal bug, mentre Rackspace ha dovuto riavviare i cloud server Standard, Performance 1, Performance 2 e quelli dedicati al servizio Cloud Big Data/Hadoop.
In cosa consiste il bug Xen che ha costretto il riavvio del cloud computing
Il bug è stato scoperto da Jan Beulich di SUSE sui server con attivo il supporto alla modalità di virtualizzazione hardware-assisted HVM. In pratica, la modalità HVM consente al sistema operativo virtualizzato di usare le estensioni hardware per avere un accesso veloce alle risorse fisiche del server e per garantire l’emulazione software di alcune piattaforme hardware Intel. Ad esempio, le macchine virtuali Windows che vengono eseguite su Xen hanno bisogno del supporto HVM attivo.
In questa modalità, il codice che emula il controller interrupt Intel x2APIC costringe la macchina virtuale a scrivere in un’area di memoria riservata per il controller emulato, ma non pone limiti sulla lettura, per cui un qualsiasi programma eseguito su una VM che usa il controller x2APIC può leggere le informazioni conservate fuori dallo spazio di memoria riservato.
Qualsiasi software che viene eseguito su una macchina virtuale di un server che usa HVM può superare i sistema di protezione e sicurezza e, in modo inavvertito o con intento malevolo, accedere alla memoria della macchina fisica che ospita la VM, esplorando così i dati riservati alle altre istanze virtuali o al software di virtualizzazione stesso. La pericolosità del bug può anche permettere a un malware di gestire il server che ospitava la VM o mandarlo addirittura in crash.
In realtà, HVM non è l’unica modalità di virtualizzazione supportata da Xen, che è capace di lavorare secondo il criterio della paravirtualizzazione (PV) che consente di creare istanze Linux o FreeBSD con una minore emulazione hardware.
Stando all’avviso di sicurezza pubblicato da Xen, il problema non sembra interessare i sistemi paravirtualizzati e non sembra inficiare neanche le architetture diverse da quelle X86, come i server basati su ARM. Inoltre, il bug è presente solo nelle versioni di Xen successive alla 4.1.
Il cloud computing di Hosting Solutions non è stato minimamente intaccato dal problema, visto che la sua infrastruttura si basa su software OpenStack con hypervisor KVM.
