保安警報 (A18-01-09): 虛擬機器監察器(Hypervisors)多個漏洞

描述:

近期發現名為「Meltdown」和「Spectre」的保安問題影響大部份虛擬化環境中的虛擬機器監察器(hypervisors)。該問題導致在主機(host)內的虛擬機器(virtual machines)之間，或在虛擬機器內的程序之間泄漏資訊。攻擊者需要在受影響的系統上執行惡意程式從而攻擊這些保安問題。

受影響的系統:

• VMware vCenter Server (VC), vSphere ESXi (ESXi), VMware Workstation Pro / Player (Workstation) 和 VMware Fusion Pro / Fusion (Fusion)
• Microsoft Hyper-V
• 所有 Xen 版本
• Red Hat Enterprise Virtualization 3.6 ELS 和 4.1

影響:

成功利用這些漏洞可以導致遠端執行程式碼、提高權限或泄漏資訊。

建議:

有些產品供應商已經就他們以下產品的漏洞提供了修補程式的資訊。以下列表並不包括所有受影響的系統，我們建議你諮詢產品供應商以確定修補程式的情況。

• Microsoft Hyper-V
  https://docs.microsoft.com/en-us/virtualization/hyper-v-on-windows/CVE-2017-5715-and-hyper-v-vms
  https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution
  
  
• VMWare
  https://www.vmware.com/security/advisories/VMSA-2018-0002.html
  https://www.vmware.com/security/advisories/VMSA-2018-0004.html
  
  
• Xen
  http://xenbits.xen.org/xsa/advisory-254.html
  
  
• Red Hat
  https://access.redhat.com/solutions/3307851
  
  

當修補程式發布後，系統管理員應立刻更新有關裝置，或遵從產品供應商的建議以降低風險。

進一步資訊:

https://googleprojectzero.blogspot.hk/2018/01/reading-privileged-memory-with-side.html
https://meltdownattack.com/
https://spectreattack.com/
https://www.hkcert.org/my_url/zh/alert/18010401
https://www.us-cert.gov/ncas/alerts/TA18-004A
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5715
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5753
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5754