Sikkerhetsmarerittet i skyen du aldri så komme

Når du setter opp en VPS hos en skyleverandør, forventer du at det er skikkelig isolasjon mellom kundene. At en kompromittert container hos din «nabo» ikke skal påvirke din egen instans, ikke sant? Det er selve grunntanken bak virtualisering – solide grenser mellom arbeidsbelastninger som deler samme maskinvare.

Zapscape bryter denne forutsetningen på en svært urovekkende måte.

Hva er Zapscape?

Sikkerhetsforskere har oppdaget dette hullet i Linux KVM. Kort fortalt dreier det seg om en feil i hvordan KVM-delen av kjernen håndterer bestemte minneoperasjoner. KVM er den åpne virtualiseringsteknologien som driver millioner av skyservere verden over.

Det som virkelig skremmer

Vanlige angrep som bryter ut av virtuelle maskiner krever at angriperen allerede har fotfeste inne i en VM. Deretter utnytter de hypervisoren til å slippe ut og nå vertssytemet.

Zapscape endrer alt.

Sårbarheten kan utløses selv på servere som ikke kjører noen virtuelle maskiner i det hele tatt. Dette betyr at dedikerte servere – de som kjører direkte på maskinvare uten virtualisering – potensielt kan kompromitteres hvis de kjører en sårbar kjernversjon. Angrepsoverflaten strekker seg langt utover tradisjonelle VM-leietakere.

For skyleverandører med delt infrastruktur er dette kritisk. En enkelt kompromittert kunde kan i teorien eskalere rettigheter til root-nivå på den fysiske verten, og dermed få tilgang til alle andre kunders data og arbeidsbelastninger på den maskinen.

Hva betyr dette for din infrastruktur?

Hos NameOcean tar vi slike sårbarheter på alvor. Her er det du trenger å vite:

1. Kjernerversjoner har betydning – Zapscape rammer spesifikke Linux-kjernerversjoner som håndterer KVM-operasjoner. Å kjøre en utdatert kernel øker risikoen betraktelig.

2. Flere leietakere = høyest risiko – Hvis du er på delt hosting eller VPS-infrastruktur, er du avhengig av at leverandøren din patcher hypervisorene sine raskt.

3. Dedikert betyr ikke automatisk trygt – Den «dedikerte» serveren du trodde var isolert? Den kan likevel være sårbar hvis den kjører en sårbar kjerneversjon.

Hva bør du gjøre nå?

Først og fremst: Sjekk kjerneversjonen din. De fleste Linux-distribusjoner har allerede sluppet oppdateringer for denne sårbarheten. Oppdater umiddelbart hvis du kjører en berørt versjon.

Deretter: Hvis du bruker en administrert skytjeneste, ta kontakt med leverandøren og spør om deres patch-status. Hos NameOcean har infrastrukturteamene våre overvåket situasjonen aktivt og rullet ut oppdateringer på tvers av vårt KVM-baserte hostemiljø.

I tillegg: Vurder ekstra sikkerhetslag – riktige brannmurkonfigurasjoner, innbruddsdeteksjonssystemer og regelmessig sikkerhetsrevisjon kan bidra til å redusere risiko selv når sårbarheter eksisterer.

Det store bildet

Zapscape minner oss om at sikkerheten til delt datainfrastruktur avhenger av flere forsvarslag. Ingen enkelt teknologi er ugjennomtrengelig, og det komplekse samspillet mellom kjerner, hypervisorer og maskinvare kan skape uventede angrepsvektorer.

For gründere og utviklere som bygger på skyinfrastruktur understreker dette viktigheten av:

• Å forstå leverandørens sikkerhetspraksis
• Å implementere flerlags forsvar
• Å holde seg oppdatert om sårbarheter som påvirker ditt teknologistakk
• Å ha beredskapsplaner klare

De gode nyhetene? Zapscape er rapportert på ansvarlig vis, og sikkerhetsmiljøet har samarbeidet med skyleverandører om å rulle ut oppdateringer. Til forskjell fra enkelte sårbarheter som blir liggende i månedsvis før fikser er klare, har responsen på denne vært relativt rask.

Men «relativt rask» betyr ikke «allerede gjort». Sjekk systemene dine i dag, og forsikre deg om at skyinfrastrukturen din ikke står ubeskyttet.

Hold deg sikker, hold deg oppdatert, og fortsett å bygge.