Computerbeveiliging - Hoe je bad guys buiten de deur houdt

Ernstige kwetsbaarheid in OS Qubes

05-04-2017, 17:28 door Anoniem, 1 reacties
Er is een zeer ernstige kwetsbaarheid opgedoken in OS Qubes.
Kort gezegd komt het erop neer dat als een aanvaller een lek in een browser bijvoorbeeld kan misbruiken, die kan leiden tot een volledige compromittering van het hele systeem. Oorzaak is een brakke patch die het lek heeft geïntroduceerd.

The XSA-29 fix introduced an insufficient check on XENMEM_exchange
input, allowing the caller to drive hypervisor memory accesses outside
of the guest provided input/output arrays.

Er wordt daarom dringend aangeraden om het OS zo spoedig mogelijk bij te werken naar de nieuwste patch.

Meer informatie vindt men hier:
https://github.com/QubesOS/qubes-secpack/blob/master/QSBs/qsb-029-2017.txt
https://www.theregister.co.uk/2017/04/05/patch_qubes_to_prevent_pwnage_via_xen_bug/
Reacties (1)
05-04-2017, 22:52 door Erik van Straten
Interessant uit het artikel op The Register vond ik vooral:
5 Apr 2017 at 05:31, Richard Chirgwin: Patch Qubes to prevent pwnage via Xen bug
Death knell sounded for paravirtualisation, here's why
[...]
The advisory notes that it stems from the paravirtualisation (PV) system in Qubes, which is overly complex and due to be unplugged: “the upcoming Qubes OS 4.0 will no longer use PV. Instead, we will be switching to HVM-based virtualisation”.
[...]
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.