Sun VirtualBox host reboot PoC

Bug

A minap a milw0rm-on felbukkant egy proof-of-concept exploit. A Virtualbox guest-en futtatott kód alkalmas a host összeomlasztására (a host rebootol). Több különböző guest operációs rendszeren kipróbálták (Windows XP, Windows 7 RC, Ubuntu 9.04).

Az egyelőre nem világos, hogy tetszőleges kódfuttatásra kihasználható-e a bug. A víruskeresőkkel foglalkozó szakemberek sokszor elemzik a kártevőket virtuális gépen, ennek megnehezítésére mindenesetre jól jöhet a programhiba a malware készítői számára.

A PoC itt található.

(A hír nem szól arról, hogy Windows hoston működik-e. Esetleg valaki kipróbálhatná.)

( thuglife | 2009. 08. 02., v – 11:28 )

hahaha tessek csak virtualizalni, mert az secure.

Az nem biztos, legalábbis nekem nem sikerült Plan 9-et feltelepítenem rá, a grafikus módra váltás nem sikerült. Sokféle összeállításon próbálkoztam már Plan 9-el, szerintem még egy abakuszon is képes lenne VGA képernyőmódba váltani, szóval inkább a VirtualBox-ot hibáztatnám.

----
Írtam egy fizikakönyvet: http://www.scribd.com/bvalek2 | Plan 9 felhasználó

Attól függ mit mivel hasonlítasz össze. Ha azt nézzük, hogy van két szolgáltatás, aminek biztonsági szempontból szeparáltnak kell lennie, akkor a három opciód van:
a) egy OS kernel felett futnak
b) egy hoston virtualizálva két külön guest kernel felett futnak
c) fizikailag két külön gépen futnak

Nyilvánvaló, hogy a a) és b) kevésbé biztonságos, mint a c), de azért óvatosan az is kijelenthető, hogy a) kevésbé biztonságos, mint b). Összetettsége miatt egy hagyományos OS-en lokális exploitálásra jellemzően elég sok lehetőség van. Nem csak a kernel local root exploitokra gondolok, hanem a rosszul megírt/konfigurált library/alkalmazásokon át egészen a felhasználó által hibásan beállított jogosultságokig. Platform virtualizációnál a hibalehetőségek száma lényegesen kissebb, ráadásul kevés dolgot ronthat el a végfelhasználó. Tehát a platform virtualizáció igenis használható a biztonság növelésére, ha a) -> b) irányba mész, de nyilván kockázattal jár, ha c) -> b) irányba történik.

Amúgy általában a periféria backendek szoktak hibaforrások lenni, a virtualbox mostani bugja valami elég triviális hibának néz ki, sysenter-re azért szerintem illene lennie legalább egy regression tesztnek.
---
Linux is bad juju.

termeszetesen nem nulla az overhead. de ha megnezek egy ceget, latok mondjuk 5 desktop pct "szerverkent", aminek a kihasznalasa par szazalek.

ilyenkor nem jobb egy fizikai vasra migralni? az sem lesz kitolva. karbantartani meg konnyebb. igaz, ha nincs meg 1 gep, es nem tud live migralni,
akkor egy hw csere miatt az egesz infrastruktura all, de hat egy geppel nem szabad csinalni :)

Ha úgy kezdem, hogy egy normális SAN alsó hangon több milliós nagyságrend, akkor nem olcsó. Persze el lehet virtualizál_gat_ni SAN nélkül is. Erre céloztam. Egyébként nem rossz dolog a virtualizáció, de egy kicsit szerintem is túl van lihegve. Az elmúlt években nem voltam olyan rendezvényen, konferencián, stb. ahol ne az lett volna az üzenet, hogy "ha nem virtualizálsz, akkor egy utolsó senki vagy". És ennek köszönhetően lehet az, hogy jön az ügyfél, hogy __egy darab__ olyan gépre (local két szem diszkre) akarja az egész vállalatot bízni virtualizációval (mert ezt hallotta, ezt olvasta a $FOO Magazinban), amit én egy jó desktop-nak sem mondanék.

--
trey @ gépház

Virtualizáljunk rögtön SAN-t és hálózatot is hozzá. Már csak az embereket kell virtualizálni, és kész is vagyunk. Tényleg bármit el lehet adni ezzel a szóval pár embernek.

Erre leginkább a minicégeknek van szükségük, akik még hisznek a HA clusterekben, és nincs pénzük (elkötelezettségük) arra, hogy megfizessék a tudást, ami kivezeti őket a 20. század süppedős mocsarából. ;)

(jó, van néhány hely, ahol tényleg jól jön)

suckIT szopás minden nap! HUPwnie awards

( KnK | 2009. 08. 02., v – 17:53 )

VULNERABILITY INFORMATION

Remotely exploitable: no
Locally exploitable: yes

Ezt érdemes lenne hozzáírni a poszthoz.

te nem érted, de mindegy, valójában ugyanarról beszélünk. Definició szerint local, jellege miatt mégis könnyen kihasználhatóvá válhat távolról, mig a legtöbb local exploit távolról sokkal nehezebben használható ki, pl egy másik hiba kell hozzá. Ehhez viszont nem kell másik hiba, bizonyos esetekben elég ha a guest távolról elérhető. (és igen, ettől még nem kell remote-nak nevezni)

( uid_4672 | 2009. 08. 03., h – 09:22 )

nekem nem rebootol.
host: 64bit linux,
guest: xp pro,
vbox version: 3.0.2-r49928.

a zikszpé rendesen kiírja a sysenter-re, hogy "alma.exe has encountered a problem and needs to close."