VENOM : Virtualized Environment Neglected Operations Manipulation (CVE-2015-3456)
Sécurité
VENOM : Virtualized Environment Neglected Operations Manipulation, nom donné à la vulnérabilité CVE-2015-3456 (CVE signifiant Common Vulnerabilities and Exposures). « La faille qui permettait de sortir d'une machine virtuelle par le lecteur de disquette », par analogie avec le cambrioleur qui entre par la chatière d'une maison dont le chat est mort depuis vingt ans.
La faille : Révélée en mai 2015 par Jason Geffner, chercheur chez CrowdStrike. Le contrôleur de disquette émulé par QEMU ne vérifiait pas correctement la taille d'un tampon lors du traitement de certaines commandes envoyées par l'invité, ce qui permettait un débordement de mémoire dans le processus QEMU de l'hôte.
Qui était touché : Les plateformes qui réutilisaient ce code de QEMU, dont Xen, KVM (Kernel-based Virtual Machine) et VirtualBox. Le contrôleur restait présent dans de nombreuses configurations même sans aucun lecteur de disquette déclaré : il était inutile, il était actif, il était vulnérable, trois qualités qui vont souvent ensemble.
Conditions et portée : L'attaquant devait disposer des droits d'administrateur dans une machine virtuelle pour parler directement au contrôleur. Le risque était au minimum un plantage du processus QEMU, et potentiellement l'exécution de code sur l'hôte, donc l'accès aux autres machines virtuelles qu'il hébergeait. La correction passait par la mise à jour de QEMU et le redémarrage ou la migration des machines virtuelles.
Ce qui arrive si on s'en passe
Ne pas corriger VENOM, ou toute faille de la même famille, laisse à n'importe quel client d'un hébergeur mutualisé la possibilité de viser l'hôte depuis sa propre machine virtuelle, qu'il a pu louer pour quelques euros. Une fois sur l'hôte, il lit ou modifie les disques et la mémoire des autres machines virtuelles, ce qui transforme la frontière entre clients en simple formule de politesse. Mettre à jour le paquet sans redémarrer les machines virtuelles ne suffit pas : l'ancien processus QEMU, toujours en mémoire, reste vulnérable jusqu'à ce qu'on le remplace.
Explication de la marmotte
Quand plusieurs ordinateurs virtuels tournent sur une même machine physique, ils sont censés être séparés par des murs étanches. VENOM était une faille, découverte en 2015, dans le faux lecteur de disquette que le logiciel QEMU fournit aux ordinateurs virtuels. En envoyant des ordres mal formés à ce lecteur, un ordinateur virtuel pouvait abîmer la mémoire de la vraie machine et peut-être en prendre le contrôle. Elle a montré qu'un vieil équipement oublié peut devenir une porte d'entrée.
Où ce terme est utilisé
- Évasion de VM et isolation matérielle des hyperviseurs (2 occurrences)