VENOM compromete millones de servidores pero ya tiene solución

VENOM es una vulnerabilidad crítica (CVE-2015-3456) descubierta por investigadores de la firma CrowdStrike. Compromete a millones de servidores en todo el mundo y por ello se ha comparado con Heartbleed, uno de los mayores fallos de seguridad de la historia hallado en el software de cifrado OpenSSL.

Más allá del número potencial de servidores afectados poco tienen que ver ya que VENOM (Virtual Environment Neglected Operations Manipulation) es una vulnerabilidad en el controlador de la disquetera virtual de QEMU utilizado en varias plataformas de virtualización. Un componente hardware totalmente obsoleto que aunque parezca increíble todavía se sigue soportando.

La explotación de esta vulnerabilidad permite acceder al sistema operativo del anfitrión y la ejecución de código arbitrario. El fallo surge del acceso de escritura no indexado al búfer FIFO de memoria utilizado por la capa de emulación del FDC para el almacenamiento de comandos y parámetros. Algunas instrucciones del FDC no reinician el índice, por lo que las escrituras posteriores provocan un desbordamiento de búfer que puede ser explotado por el atacante.

VENOM compromete todos los hipervisores con el FDC de QEMU, como los incluidos en las plataformas de XEN project, KVM de RedHat y la plataforma de Citrix, según explican en INCIBE. La vulnerabilidad es crítica afecta por igual a Windows, Linux u OSX, y permitiría a un atacante salir de los límites de una máquina virtual (en un centro de servidores, por ejemplo) y llegar a ejecutar código en la máquina real o acceder a otras máquinas virtuales del mismo servidor.

Afortunadamente, no se tiene constancia de explotación de VENOM y la solución es tan sencilla como aplicar el parche correspondiente a la mayor brevedad de fabricantes como:

• QUEMU
• Xen Project
• Red Hat
• Citrix
• Ubuntu
• Debian
• SuSe
• f5
• DigitalOcean
• Rackspace
• FireEye
• Linode

La vulnerabilidad no afecta al Hyper-V de Microsoft ni a la plataforma en nube Azure, tampoco a VMWare ni al Cloud Service de Google.