Спустя месяц с момента публикации сведений о прошлой порции критических проблем доступна (https://xenbits.xen.org/xsa/) информация о новых 4 уязвимостях, из которых три (CVE-2017-14316 (https://xenbits.xen.org/xsa/advisory-231.html), CVE-2017-14317 (https://xenbits.xen.org/xsa/advisory-232.html), CVE-2017-14317 (https://xenbits.xen.org/xsa/advisory-234.html)) потенциально позволяют выполнить код с правами гипервизора и выйти за пределы текущего гостевого окружения. Одна уязвимость (CVE-2017-14317 (https://xenbits.xen.org/xsa/advisory-233.html)) даёт возможность инициировать крах процесса xenstored. Для эксплуатации наиболее опасных уязвимостей атакующий должен иметь доступ к выполнению кода в гостевой системе с правами ядра. Для проявления всех уязвимостей, кроме CVE-2017-14316 (уязвимость в коде поддержки NUMA), гостевая система должна работать в режиме паравиртуализации. Всего за последние полгода в Xen было устранено 16 критических уязвимостей.
URL: https://www.qubes-os.org/news/2017/09/12/qsb-33/
Новость: http://www.opennet.me/opennews/art.shtml?num=47200
16 за полгода = 2.7 в месяц ~= по одной в неделю.А теперь давайте пошутим про индусов в Майкрософте.
Да они даже уязвимостей не находят!!1
)
индусы в мелкософте хитрые, и перестали рассказывать подобные детали.
А какие-то "critical" в hyper-v с очередным апдейтом таки да, приехали. Сколько их - а хз.индусский код - он и в ксене и в гиперве такой вот индусский.
Индусы теперь пишут такие новости с кричащими заголовками. "ОЧЕРЕДНАЯ ПОРЦИЯ", боже ж ты мой.
Ну вообще то 2.7 в месяц - это скорее 1 в 2 недели, чем в одну. Ты ещё скажи, что эти 4 вообще за один день появились ( вчера же не было о них известно в широких кругах?). А это получается 4 в день!
> 16 за полгода = 2.7 в месяц ~= по одной в неделю.
> А теперь давайте пошутим про индусов в Майкрософте.А давайте!
https://www.theregister.co.uk/2017/04/11/patch_tuesday_mess/
> Cowardly Microsoft buries critical Hyper-V, WordPad, Office, Outlook, etc security patches in normal fixes
Опять львиная доля от использования PV. Ну вы поняли куда этот режим надо посылать...
Опять львиная доля анонимов. Ну вы поняли куда этих анонимов надо посылать...
Xen написан в Кембридже. Exim написан в Кембридже.
Если рассудок и жизнь дороги Вам, держитесь подальше от софта, написанного в Кембридже.
Чемпионом по количеству дырок всё равно останется сендмейл, написанный гомосеком. ..ну вы поняли.
Чем вам Exim не угодил?https://www.cvedetails.com/product/153/University-Of-Cambrid...
https://www.cvedetails.com/product/19563/Exim-Exim.html?vend...Посмотрите на количество уязвимостей. Это не много.
Для справки, вот Xen: https://www.cvedetails.com/product-search.php?vendor_id=0&se...
Почему в KVM так часто не находят уязвимости?
В квм нет паравиртуализации.
какая-то у вас пара-KVM
Сейчас бы qemu с kvm путать.
Вы о чем?
В ксене 2 режима виртуализации -- PV и HVM.
Большинство косяков ксена относятся к режиму PV.
В квм же только HVM и в этом режиме с ксеном паритет по косякам.
>В квм же только HVM и в этом режиме с ксеном паритет по косякам.Нет, и тут зен сливает.
Этим летом, к прмеру, linode просто панически сбёг с него на квм, даже апгрэйд давали за свой счёт :)
>>В квм же только HVM и в этом режиме с ксеном паритет по косякам.
> Нет, и тут зен сливает.
> Этим летом, к прмеру, linode просто панически сбёг с него на квм,
> даже апгрэйд давали за свой счёт :)Linode? Не, не слышал. :)
Вот когда Амазон панически сбегет с ксена тогда будет прецедент.
У квм только одно преимущество перед ксеном -- за счёт ksm можно нехило оверпровизионить количество виртуалок на ноду, за счёт снижения производительности и с риском положить ноду, но это позволяет поднять ощутимо больше бабла.
Там зато есть _настраиваемый_ гибридный режим, в котором остается только очень тонкая прослойка. А не выбор из двух стульев.
Где там? В квм?
И KVM и Xen HVM используют аппаратный изолятор в CPU для запуска ядра гостевой ОС.
Гибридный режим есть в Xen, называется PVH.
>Для эксплуатации наиболее опасных уязвимостей атакующий должен иметь доступ к выполнению кода в гостевой системе с правами ядра, ... гостевая система должна работать в режиме паравиртуализации.А не многовато условий для эксплуатации уязвимости?