VENOM 脆弱性について

[ここ](http://qiita.com/tsukamoto/items/d5dee47ecea2f42b3dbd)を見て， Qiita に脆弱性情報を残しておくのもいいかと思い，個人用のメモとして記しておく。今後も同様の情報をアップしていく予定であるが，基本的には CVSS 基本値 7.0 以上または影響範囲が広範なものに限定する。

個々の脆弱性情報については [IPA のアラート](http://www.ipa.go.jp/security/announce/alert.html)や [JPCERT/CC](https://www.jpcert.or.jp/) のアナウンスを常日頃から監視しておくことをお薦めする。なお個人的に[脆弱性情報専用の Twitter bot を運用](https://twitter.com/security_inci)しているので，よろしければそちらもどうぞ。

## VENOM とは

VENOM（Virtualized Environment Neglected Operations Manipulation）

QEMU のフロッピーディスク コントローラ (FDC) エミュレーション実装に buffer overflow する欠陥があり、仮想 OS からハイパーバイザー本体を攻略できる。この脆弱性を悪用された場合、攻撃者が仮想マシンから抜け出し、ホスト側のシステムに対してアクセス・任意のコード実行が可能となる恐れがある。

## 影響度

[CVE-2015-3456] より

CVSS 基本値 7.7 (AV:A/AC:L/Au:S/C:C/I:C/A:C)

| 基本評価基準                            | 評価値            |
|----------------------------------------:|:------------------|
| 攻撃元区分（AV）                        | 隣接ネットワーク（A） |
| 攻撃条件の複雑さ（AC）                  | 低（L）           |
| 攻撃前の認証要否（Au）                  | 単一認証（S）     |
| 情報漏えいの可能性（機密性への影響, C） | 全面的（C）       |
| 情報改ざんの可能性（完全性への影響, I） | 全面的（C）       |
| 業務停止の可能性（可用性への影響, A）   | 全面的（C）       |

CVSS については[デモページ](http://www.baldanders.info/spiegel/archive/cvss/cvss2.html)を参照のこと。

## 影響を受ける実装

QEMU は Xen や VirtualBox にも利用されているため、これらも影響を受ける。 

- Xen : [Xen Security Advisory CVE-2015-3456 / XSA-133 : Privilege escalation via emulated floppy disk drive](http://xenbits.xen.org/xsa/advisory-133.html)
- VirtualBox : 4.3.28 では未修整？

クラウドサービスへの影響は以下の通り。

- Amazon AWS は影響を受けない（[XSA Security Advisory CVE-2015-3456](http://aws.amazon.com/jp/security/security-bulletins/XSA_Security_Advisory_CVE_2015_3456/)）
- さくらインターネット : [【重要】VENOM（KVM・XenなどのQEMUの脆弱性）に関する対策について](http://www.sakura.ad.jp/news/sakurainfo/newsentry.php?id=1050)
    - [【重要】【さくらのクラウド】「VENOM」脆弱性対応に伴うメンテナンス実施のお知らせ | さくらインターネット](http://www.sakura.ad.jp/news/sakurainfo/newsentry.php?id=1053)
    - [【重要】【さくらのVPS】「VENOM」脆弱性対応に伴うメンテナンス実施のお知らせ | さくらインターネット](http://www.sakura.ad.jp/news/sakurainfo/newsentry.php?id=1054)

> 確認の結果、さくらのレンタルサーバにつきましては、影響がないことが判明いたしました。

以下の製品は影響を受けない。

- VMware
- Bochs
- Microsoft Hyper-V
- Softlayer : [Update - VENOM Vulnerability | SoftLayer Blog](http://blog.softlayer.com/2015/update-venom-vulnerability)

## 参考ページ

- [VENOM Vulnerability](http://venom.crowdstrike.com/)
- [fdc: force the fifo access to be in bounds of the allocated buffer](http://git.qemu.org/?p=qemu.git;a=commitdiff;h=e907746266721f305d67bc0718795fedee2e824c)
- [セキュリティホール memo の記事](http://www.st.ryukoku.ac.jp/~kjm/security/memo/2015/05.html#20150514_VENOM)
- [QEMU 仮想フロッピードライブコントローラの脆弱性（通称：VENOM） CVE-2015-3456についてまとめてみた。 - piyolog](http://d.hatena.ne.jp/Kango/20150514/1431611018)
- [【重要】VENOM（KVM・XenなどのQEMUの脆弱性）に関する対策について（5/15 11:30更新） | さくらインターネット](http://www.sakura.ad.jp/news/sakurainfo/newsentry.php?id=1050)
- [脆弱性「VENOM」をセキュリティ企業が新たに報告--広範な仮想プラットフォームに影響 - ZDNet Japan](http://japan.zdnet.com/article/35064485/)

> Red Hatはシステム管理者に対し、「yum update」または「yum update qemu-kvm」コマンドを使ってシステムをアップデートするよう推奨している。その後、ゲスト（仮想マシン）を「パワーオフ」した上で改めて起動する必要がある。再起動するだけでは古いQEMUバイナリが使われてしまうため、不十分だという。

- [仮想化製品多数に「ゲストVM脱出」の脆弱性、影響は極めて重大 - ITmedia エンタープライズ](http://www.itmedia.co.jp/enterprise/articles/1505/14/news050.html)
- [VMware製品へのVENOM脆弱性の影響情報 - Qiita](http://qiita.com/tsukamoto/items/d5dee47ecea2f42b3dbd)

[CVE-2015-3456]: https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3456

その他情報歓迎です。