Qubes-Entwickler warnen vor gefährlicher Xen-Lücke
Über eine Lücke in der Paravirtualisierung von Xen kann ein Gastsystem den kompletten Speicher des Hosts auslesen. Auch die auf Sicherheit ausgelegte Linux-Distribution Qubes ist betroffen.
In der auf Sicherheit ausgerichteten Linux-Distribution Qubes klafft eine Schwachstelle, die auf eine "gefährliche Sicherheitslücke" in der Speicherverwaltung des Hypervisors Xen zurückgeht. So jedenfalls die Einschätzung der Qubes-Entwickler. Das Xen-Sicherheitsteam gibt keine Einschätzung darüber ab, wie gefährlich die Lücke ist, weist aber darauf hin, dass sie von einem Gastsystem missbraucht werden kann, den kompletten Speicher des physischen Hosts auszulesen. Das wiederum ermöglicht es dem Gast, seine Rechte auszuweiten und Daten auszulesen, auf die er nicht zugreifen dürfte.
Betroffen sind alle aktuellen Versionen von Xen, allerdings nur die x86-Prozessorarchitektur. Des Weiteren können nur 64-Bit-Gastsysteme die Lücke ausnutzen. Sie klafft im Paravirtualisierungssystem von Xen, was bedeutet, dass Gäste, die stattdessen mit einer Hardware Virtual Machine (HVM) laufen, nicht betroffen sind. Die Paravirtualisierung ist den Qubes-Entwicklern ohnehin zu kompliziert, weshalb die nächste Major-Version der Distribution (Qubes 4.0) auf HVM umsteigen wird.
Einen Patch für Xen haben die Entwickler ihrem Security Advisory beigefügt. Details dazu, wie man betroffene Qubes-Versionen absichert, finden sich in einer Sicherheitsmeldung des Qubes-Projektes. (fab)
