Кошмарът в сигурността на облака, за който не сте подозирали

Когато стартирате виртуален частен сървър (VPS) в облачна платформа, очаквате правилна изолация между наемателите. Че съседът ви с компрометиран контейнер няма да засегне вашата инстанция, нали? Това е фундаменталното обещание на виртуализацията — силни граници между работни натоварвания, споделящи един и същ хардуер.

Zapscape нарушава това обещание по притеснителен начин.

Какво представлява Zapscape

Това е уязвимост в Linux KVM, открита от изследователи по сигурността. Проблемът се крие в начина, по който подсистемата Kernel-based Virtual Machine (KVM) обработва определени операции с паметта. KVM е open-source технологията за виртуализация, която захранва милиони облачни сървъри по света.

Ето какво наистина плаши

Традическите атаки за бягство от VM изискват нападателят вече да има позиция във виртуалната машина. След това експлоатира хипервайзора, за да избяга и да получи достъп до хост системата.

Zapscape променя нещата изцяло.

Уязвимостта може да бъде задействана дори на сървъри, които не работят с никакви виртуални машини. Това означава, че bare-metal сървърите — тези, работещи директно на хардуер без виртуализация — потенциално могат да бъдат компрометирани, ако работят с уязвима версия на ядрото.

За облачните доставчици, работещи със споделена инфраструктура, това е критичен проблем. Един единствен компрометиран наемател теоретично може да ескалира привилегиите до root контрол върху физическия хост, което му дава достъп до данните и работните натоварвания на всички останали наематели на тази машина.

Какво означава това за вашата инфраструктура

В NameOcean третираме сериозно уязвимости като тази. Ето какво трябва да знаете:

1. Версиите на ядрото имат значение — Zapscape засяга конкретни Linux kernel версии, които обработват KVM операции. Старо ядро значително увеличава експозицията ви.

2. Мулти-наемателските среди са с най-висок риск — Ако сте на споделен хостинг или VPS инфраструктура, разчитате на доставчика си бързо да пачва хипервайзорите си.

3. Bare-metal не е автоматично безопасно — Този "dedicated" сървър, който смятахте за изолиран? Може пак да е уязвим, ако работи с проблемна версия на ядрото.

Какво трябва да направите ВЕДНАГА

Първо, проверете версията на ядрото си. Повечето Linux дистрибуции вече са пуснали кръпки за тази уязвимост. Обновете незабавно, ако сте с засегната версия.

Второ, ако ползвате managed cloud услуга, свържете се с доставчика си и попитайте за статуса на пачовете. В NameOcean нашите екипи по инфраструктура активно следят ситуацията и прилагат кръпки в цялата ни KVM-based хостинг среда.

Трето, помислете за допълнителни нива на сигурност — правилни firewall конфигурации, системи за откриване на нахлувания и редовни security одити могат да помогнат за смекчаване на рисковете дори когато съществуват уязвимости.

По-голямата картина

Zapscape е напомняне, че сигурността на споделената изчислителна инфраструктура зависи от слоеве на защита. Нито една технология не е непроницаема, а сложните взаимодействия между ядра, хипервайзори и хардуер могат да създадат неочаквани вектори на атака.

За стартъпи и разработчици, изграждащи на облачна инфраструктура, това подчертава важността на:

• Разбирането на практиките за сигурност на вашия доставчик
• Прилагането на стратегии за defense-in-depth
• Следенето на уязвимостите, засягащи вашия tech stack
• Наличието на планове за реагиране при инциденти

Добрата новина? Zapscape е отговорно оповестена и сигурностната общност работи с облачните доставчици за пускане на кръпки. За разлика от някои уязвимости, които се влачат с месеци преди да има налични поправки, реакцията на тази е била сравнително бърза.

Но "сравнително бързо" не означава "вече направено". Проверете системите си днес и се уверете, че облачната ви инфраструктура не е изложена.

Останете сигурни, оставете обновени и продължете да строите.