VENOM: QEMU 脆弱性 (CVE-2015-3456)
Red Hat Product Security チームは、KVM/QEMU および Xen ハイパーバイザーの QEMU コンポーネントに実装されるフロッピーディスクコントローラー (FDC) エミュレーションに影響を与える 'バッファーオーバーフロー' の脆弱性を認識しています。CVE-2015-3456 が割り当てられているこの脆弱性は、CrowdStrike 社の Jason Geffner が発見した、現在は VENOM と呼ばれている問題です。この脆弱性の影響度は 重要な影響 と評価されています。
背景情報
QEMU は汎用のオープンソースマシンのエミュレーターおよびバーチャライザーであり、Xen および KVM/QEMU ハイパーバイザーの下で仮想マシンを実行するための基盤およびハードウェアエミュレーションレイヤーとして、一部の Red Hat 製品に組み込まれています。
影響
特権を持つゲストユーザーはこの不具合を利用して、ゲストをクラッシュさせたり、ゲストに対応するホストの QEMU プロセスの特権を使ってホストで任意のコードを実行する可能性もあります。ゲストが仮想フロッピーディスクを明示的に設定および接続していない場合でも、この脆弱性の悪用が可能であることに注意してください。この問題は、設定の如何を問わず、すべての x86 および x86_64 ゲストに対して初期化され、削除したり、無効にしたりすることができないフロッピーディスクコントローラーに存在します。
現在、この脆弱性を悪用する既知の問題は確認されていません。ホストの QEMU プロセスの特権やリソースアクセスを制限するために使用される sVirt および seccomp 機能により、この問題の悪用による影響が軽減される可能性があります。ポリシーベースの回避策としては、信頼されていないユーザーにゲスト内の管理者特権を付与しないことようにすることができます。
影響に関する詳細情報
フロッピーディスクコントローラー (FDC) は依然としてシステム内に存在するため、フロッピーデバイスがゲスト内の /dev/ になければ不具合が発生しないという訳ではありません。この不具合の悪用に必要なのは、FDC I/O ポートと通信するのに十分なパーミッションを伴うゲストへのユーザーレベルのアクセス (例: Linux の root または特権ユーザー、または Windows ゲストのほぼすべてのユーザー) のみです。信頼されているユーザーのみにゲストの特権アクセスを付与する以外には、この脆弱性による全体的なリスクを軽減する方法はありません。
QEMU が組み込まれるすべての Red Hat 製品はこの不具合の影響を受けます。影響を受ける Red Hat 製品は以下のとおりです。
| 製品 | パッケージ | アドバイザリー |
|---|---|---|
| Red Hat Enterprise Linux 5 | kvm |
RHSA-2015:1003 |
xen |
RHSA-2015:1002 | |
| Red Hat Enterprise Linux 6 | qemu-kvm |
RHSA-2015-0998 |
| Red Hat Enterprise Linux 7 | qemu-kvm |
RHSA-2015-0999 |
| Red Hat Enteprise Virtualization 3 (RHEL 6) | qemu-kvm-rhev |
RHSA-2015-1001 |
| Red Hat Enteprise Virtualization 3 (RHEL 7) | qemu-kvm-rhev |
RHSA-2015-1000 |
| OpenStack Platform 4 (RHEL 6) | qemu-kvm-rhev |
RHSA-2015:1004 |
| OpenStack Platform 5 (RHEL 6) | qemu-kvm-rhev |
RHSA-2015:1004 |
| OpenStack Platform 5 (RHEL 7) | qemu-kvm-rhev |
RHSA-2015:1004 |
| OpenStack Platform 6 (RHEL 7) | qemu-kvm-rhev |
RHSA-2015:1004 |
| RHEV-H 3 (RHEL 6) | rhev-hypervisor6 |
RHSA-2015:1011 |
| RHEV-H 3 (RHEL 7) | rhev-hypervisor7 |
RHSA-2015:1011 |
RHEL ハイパーバイザーホストのアップデート
RHEL 6.6.z および RHEL 7.1.z の qemu-kvm-rhev パッケージのエラータが利用可能になりました。上記の表を参照してください。弊社は、お客様が yum パッケージマネージャーを使用して RHEL ハイパーバイザーホスト上の qemu-kvm-rhev パッケージを最新バージョンにアップデートされることを推奨します。アップデート方法については、以下の 解決策 セクションを参照してください。
RHEV ハイパーバイザー (RHEV-H) ホストのアップデート
QEMU の修正バージョンを使って RHEV-H イメージのリビルドが行われており、このイメージをダウンロードしてご利用いただけるようになりました。詳細は、RHSA-2015:1011 を参照してください。
脆弱な状態かどうかを特定する
Red Hat のサブスクリプションをお持ちの場合に、脆弱な状態かどうかやその修正方法を確認する最も簡単な方法として、Red Hat Access Lab のVENOM: QEMU Vulnerability Detector をご利用いただけます。
解決策
この脆弱性が悪用される可能性を排除するには、上記の表に一覧表示されているアドバイザリーから入手可能なアップデートされた QEMU、KVM、または Xen パッケージをインストールします。
アップデートをインストールするには、以下のように yum パッケージマネージャーを使用します。
yum update
QEMU パッケージ (またはご使用のシステム用の関連パッケージ) とその依存関係のアップデートのみを実行する場合、たとえば以下を使用します。
yum update qemu-kvm
アップデートが完了したら、ゲスト (仮想マシン) は、アップデートを有効にするために 電源をオフ にしてから起動し直す必要があります。再起動したゲストは同じ (アップデートされたものではなく既存の) QEMU バイナリーを使用して実行し続ける可能性があるため、ゲストを再起動するだけでは十分ではないことに注意してください。影響を受けるホストからゲストをマイグレーションしてから、ホストのアップデート後にマイグレーションしたゲストを元に戻すことも可能です。
Comments