Heute bekannt geworden, ist ein Vulnerability cve-2015-3456, der in diversen Linux OS-Versionen, seit ca. 2004 vorhanden ist. Ein Angreifer, der Zugriff auf eine KVM (virtuelle Maschine) hat, kann diese Sicherheitslücke nutzen, um über die Disketten-Schnittstelle, Vollzugriff auf den Host und damit die gesamte Infrastruktur des Hosters zu bekommen! Davon sind betroffen, sehr bekannte Hoster-Administrationssystemen, wie z.B. auch Xen, KVM etc. Darunter dürften auch die Plattformen openVZ und Proxmox gehören, da Sie die Qemu / KVM – Technik einsetzen und die Kernel von RedHat nutzen! Angeblich sollen die OS Hyper-Visor von Microsoft, VMware und Bochs nicht betroffen sein!

Ganz offensichtlich steht aber diese Schwachstelle nicht im Zusammenhang, des Ausfalls unseres einen Hosts vor 2,5 Wochen! Trotzdem haben wir schon bereits vor ca. 1 Woche entschieden, daß wir vorerst keine KVM-Maschinen mehr bereit stellen! Im Gegensatz zu den virtuellen Servern, die wir bereit stellen, laufen die KVM-Maschinen mehr Hardware-Orientiert und benötigen für den einwandfreien Betrieb eine Netzwerk-Schnittstelle mit MAC-Adresse, und genau über diese Netzwerkschnittstellen sind vor 2,5 Wochen unqualifizierter Traffic zum Gateway geflossen und zwar direkt in Folge eines Kernel-Updates, der auch vererbt von RedHat kam und sich durch den Neustart des Hosts erst aktiviert hat!

Inzwischen sind heute diverse Patches rein gekommen, wieder ein neuer Kernel-Update und auch ein Austausch des Grub-Loaders, vielleicht um den Fehler zu schließen, einen älteren Kernel zu selektieren!

Die derzeitige Sicherheitslücke kann jeden Hoster treffen und ist daher ernst zu nehmen! Die dahinter stehenden Entwickler der Virtualisierungs-Systeme, werden schnell für Updates sorgen, um alle Sicherheitslücken zu schließen! Momentan kann man aber feststellen, daß im Bereich von IPv6, den Netzwerkschnittstellen und anderen internen Schnittstellen gepatcht wird, daß einem schwindelig werden kann und wir können nur hoffen, daß die Programmierer von Kernel & Co hier lediglich Fehler beseitigen und keine weiteren neuen einbauen!

In diesem Zusammenhang interessant:

Proxmox in neuem Kernel 2.6.32-37 plötzlich mit Fehlfunktionen / IPv6 fehlt / pve-firewall startet nicht