4 kritické bezpečnostní chyby v produktech společnosti VMware (diskuse)

[PetebLazar]

Podle "ESXi 7.0(8.0) Any" se to má chápat tak, že tato konkrétní zranitelnost byla v této technologii cca 4 roky, podpora verze 7.0 končí v 2027 (takže si zranitelnost užila většinu životního cyklu verze)? Kdoví, třeba byla přítomna i v přechozí verzi, explicitně ze to nevylučuje.

[Ladislav Hagara]

Byla. ESXi 6.7, ESXi 6.5, …

[PetebLazar]

Byla tato chyba odhalena při jejím zneužití, náhodně, nebo cíleně? Pokud jde o poslední způsob na základě úsilí kolika jednotlivců to bylo? Pokud si představíme, že někdo věnuje na tento účel 1 mld US$/y představuje to i 10 000 takto se snažících. To nemusí představovat ani 1% některých rozpočtů na obranu, nemluvě o případném zisku z úspěšného zneužití zranitelnosti (přístup k obchodním tajemstvím, úspor nákladů na vývoj díky průmyslové́ špionáži, atd.).

Bylo by zajímavé dodatečným průzkumem zjistit jaké procento uživatelů využívající těchto technologii právě kvůli nim neprošlo bezpečnostními audity (pokud tedy vůbec někdo).

[X]

Team Ant Lab working with the 2023 Tianfu Cup Pwn Contest

V klidu. Jsou to chyby regulerne privatne oznamene v ramci honorovaneho white hat contestu, podobne jako pwn2own.

[PetebLazar]

A to snad vylučuje, aby na stejné chyby (nenahlášené) nepřišel někdo dříve?

[X]

To nikdo netvrdi. Jen odpovidam na tvou otazku. Fakticky a bez nepodlozenych teorii. To ze existuji napriklad ruske, nebo severo-korejske statem finacovane "skupiny", ktere takovou chybu asi neohlasi je vycemene znamy fakt. Nicmene nema smylsl se zabyvat necim co stejne nedokazes.

[X]

vicemene

[PetebLazar]

Jen si myslím, že není důvod pro "V klidu.", bez ohledu na to jak moc bílé klobouky určitou chybu odhalí.

[Max]

Stejné otázky si ale lze klást i u ostatních projektů včetně OSS. Nikdy nevíš, co kdo má reálně v rukávu a co se kde obezřetně zneužívá.
Zdar Max

[PetebLazar]

A přesto se prakticky rezignovalo na přípravu scénářů jak fungovat aspoň po přechodnou dobu byť třeba i omezeně bez těchto technologií.

[X]

Peto, pls stop. Bezpecnost se nesklada jen z jedne vrstvy a zavazna zranitelnost automaticky neznamena prime ohrozeni.

[PetebLazar]

Jaká další vrstva zabrání zneužít tuto zranitelnost, například v rámci instance ESXi hostující VM provozované odlišnými subjekty?

[a1bert]

treba topologie

[PetebLazar]

Je to možné trochu rozvést?

[~]

A co tu chces rozvadet? Prvni otazka kterou bezpecak dava pri priprave virtualizovaneho prostredi je "Co kdyz nekdo hackne hostitele?" a od toho se odviji treba ta topologie, aby hacknutej hostitel byl by-design izolovanej od zbytku atd.

[PetebLazar]

To není odpovědí na otázku položenou "X": "Jaká další vrstva zabrání zneužít tuto zranitelnost, například v rámci instance ESXi hostující VM provozované odlišnými subjekty?" a to na základě jeho tvrzení "Bezpecnost se nesklada jen z jedne vrstvy a zavazna zranitelnost automaticky neznamena prime ohrozeni."

Zajímalo mne jaké opatření v této zmíněné konfiguraci měl konkrétně na mysli.

[X]

Predstav si, ze abclinuxu.cz bezi na ESXi virtualizaci a ted bych te poprosil, aby jsi tu zranitelnost zneuzil a smazal tento prispevek.

[PetebLazar]

Beru to tak, že odpověď na původní otázku neznáte, nebo ji nechcete prozradit.

[a1bert]

dyt to pisou primo v tom CVE, treba sandboxing guestu ;)

[PetebLazar]

On ESXi, the exploitation is contained within the VMX sandbox whereas, on Workstation and Fusion, this may lead to code execution on the machine where Workstation or Fusion is installed.

V ESXi zneužití možné v rámci dalších VM, u Workstation a Fusion dokonce i na jejich hostu.

A malicious actor with privileges within the VMX process may trigger an out-of-bounds write leading to an escape of the sandbox.

Nic z toho mi nezní jako popis bezpečí sandboxu.

[a1bert]

ESXi neumi sandboxovat jednotlive guesty?

[PetebLazar]

Ta zranitelnost jak jsem pochopil se snad projevuje právě uvnitř jednotlivých VM(sandboxů), skrze něco co je všemi VM sdíleno xCHI USB controller. Možná, ze cílené vyloučení xCHI USB controleru z "konfigurace HW" konkrétní VM by tuto před útokem ochránilo (což tedy nezmiňují).

[RealJ]

Petre, evidentne bezpecnosti nerozumis, nechces se radsi vysrat na diskusi o bezpecnosti? Delas ze sebe jenom dalsiho velmistra nebo Jirsaka.

[PetebLazar]

Znalostní mezery jsou od toho, aby se zaplňovaly (ať individuálně, či s pomocí druhých). Ale chápu, že tento přístup může být těžko pochopitelný pro někoho kdo dané problematice vždy rozuměl. Dvakrát.

[Max]

On ale podle mně myslí něco jiného. Jsi provozovatelem cloudových služeb. Tyto služby poskytuješ ve velkém, takže zákoš přijde na web, zaregistruje se, zaplatí třeba 150,-Kč přes revolut, paypalem, btc nebo jinak a běží mu tím pádem u tebe v prostředí jeho VM. A on přes tu jeho VM může pak napadnout tvé hosty a sundat ti celého hypervisora (= to je ta hloupější varianta), nebo by si získal roota do hypervisora a snažil se nepozorovaně proniknout dál a dál a získat citlivá data jiných zákazníků apod.

Jinými slovy, jedná se o stejnou situaci, jako řešil Amazon a jiní poskytovatelé v době, kdy z Intelu padala jedna díra za druhou a oni byli v loji, bo nezaplátovat = průserver, zaplátovat = průser (bo to přinášelo performance impacty).
Zdar Max

[Max]

To by asi chtělo rozvést. Jako, že nikdo nemá otestováno všechno přeinstalovat na jiný hypervisor? Třeba všech tisíc hypervisorů včetně konverze formátů všech VM a včetně změny backup řešení a navazujících technologií? Nebo, jaký konkrétní scénář je na mysli?

Vždyť ta virtualizace je normální OS, na který chodí patche apod. Strategie je tedy stejná jako u běžného OS, prostě se nainstaluje patch (nebo se aplikuje workaround) a jede se dál, maximálně se ještě udělá inspekce, zda to už někde nemohlo být zneužito.
Zdar Max

[PetebLazar]

Ne, byla tím myšlena nulová varianta (paperwork).

[Max]

Na to jsem se ale neptal. Můžete být uveden nějaký technický příklad?
Já bych jeden velmi specifický měl, ale zajímá mně vaše reálná představa.
Zdar Max

[PetebLazar]

Jestli víte lépe jak byla míněna má původní věta, pak si asi lépe naformulujete i odpověď na Váš dotaz.

[Max]

Já jsem jen chtěl, abyste nějak konkrétněji rozvedl tuto myšlenku: "A přesto se prakticky rezignovalo na přípravu scénářů jak fungovat aspoň po přechodnou dobu byť třeba i omezeně bez těchto technologií.".
Pokud to bylo jen plácnutí do prázdna bez něčeho hlubšího, tak to napište místo nějakého nemsyslného okecávání. Napsal jste totiž naprosto fádní věc. Např. bez jakých technologií? Bez virtualizačních? Bez operačního systému? Bez čeho vlastně? Podle mně cokoli z toho nedává smysl. Jediný, co dává smysl, je směřování ke kontejnerizaci a CI/CD nasazování apod., kdy je člověk schopen relativně rychle přenést celé prostředí někam jinam (např, do cloudu apod.) a pak samozřejmě nějaká úroveň diverzifikace, která jde ale proti jednotnému konceptu.
Zdar Max

[PetebLazar]

... bez těchto technologií, ve smyslu všech.

Třeba tohle pomůže smysl věty pochopit.

[Max]

Takže nesmysl :).
Zdar Max

[PetebLazar]

U osob s rozhodováním bez širšího společenského dopadu takový názor vůbec nevadí.

[..... Izak .....]

Takova chyba nemuze existovat, cili to byly zadni vratka NSA/CIA, ktere nejak unikly, tak je vypnuli.