Před týdnem objevil Jason Geffner ze společnosti CrowdStrike závažnou bezpečnostní chybu Venom (CVE-2015–3456), která se nachází ve virtualizačním nástroji QEMU, konkrétně jeho části pro disketovou mechaniku. Co je horší, problém nemá jen QEMU, ale zejména další populární virtualizační řešení jako Xen nebo KVM, které z QEMU čerpají. Hned při zveřejnění chyby byly dostupné patche pro QEMU, Xen a produkty od Red Hatu a Citrixu.
Dnes vydal záplaty pro své produkty i Oracle. Patche jsou dostupné pro Oracle Linux, Oracle Virtual Compute Appliance, Oracle VM a Oracle VM VirtualBox. Bohužel pro produkty Oracle Database Appliance, Oracle Exadata Database Machine, Oracle Exalogic Elastic Cloud a Oracle Exalytics In-Memory Machine zatím patche dostupné nejsou.
Chyba útočníkovi v případě zadávání příkazů s určitými parametry umožňuje způsobit přetečení na zásobníku, po kterém může na hostitelském systému spustit škodlivý kód. Přestože se chyba v QEMU nachází už od roku 2004, zatím nebyl zaznamenán žádný případ zneužití. Oproti dalším chybám ve virtualizačních nástrojích je tato závažná zejména proto, že ji lze zneužít při výchozí konfiguraci.
(Zdroj: SecurityWeek)
