PwnEscape-haavoittuvuus voi mahdollistaa Linux-isäntäkoneen muistin lukemisen virtuaalikoneesta lähetetyillä erikoismuotoilluilla verkkopaketeilla. Kuvattu ongelma sijaitsee Linux-ytimen verkkokoodissa, ei yksittäisessä virtualisointiohjelmistossa. Yrityksen tärkein tehtävä on selvittää, kuka vastaa isäntäkoneen ytimestä ja onko käytössä oleva ympäristö altis haavoittuvuudelle.
Pelkkä virtuaalikoneen oman käyttöjärjestelmän päivittäminen ei korjaa isäntäytimen haavoittuvuutta. Pilvipalvelun asiakkaalle tämä tarkoittaa palveluntarjoajalta pyydettävää vahvistusta, oman virtualisointialustan ylläpitäjälle puolestaan isäntäkoneiden korjaustilanteen tarkistamista.
Mitä PwnEscape-haavoittuvuudesta on raportoitu?
Tutkimuskuvauksen mukaan Linux-ytimen viivästetty tarkistussumman laskenta voi muuttaa IPv4-paketin otsaketietoja. Kun pakettia myöhemmin pilkotaan pienemmiksi osiksi, verkkokäsittely saattaa tulkita kelvollisen pakettidatan ulkopuolisia tavuja otsakkeeksi. Tällöin isäntäkoneen muistissa olevaa tietoa voi paljastua.
Hyökkäys edellyttää mahdollisuutta lähettää hyödyntämiseen soveltuvia paketteja virtuaalikoneesta. Kuvaus ei siis tarkoita, että jokainen internetiin liitetty Linux-palvelin olisi sellaisenaan samalla tavalla hyödynnettävissä. Altistukseen vaikuttavat ytimen toteutus, jakelun korjaukset ja virtuaalikoneiden verkkoliikenteen käsittely.
Vercelin kerrotaan vahvistaneen isäntäkoneen muistin paljastumisen tuotantokäytössä olevissa eristetyissä suoritusympäristöissä. Tutkijat ovat lisäksi raportoineet isäntäkoneen kaatumisesta ja koodin suorittamisesta hallituissa testiympäristöissä. Tuotannossa raportoitu muistivuoto ja laboratorioissa osoitettu koodinsuoritus ovat eri havaintoja. Niitä ei pidä yhdistää väitteeksi tuotannossa vahvistetusta pääkäyttäjätason haltuunotosta.
Tutkimuskuvauksen ilmoitushetkellä CVE-tunniste oli vielä vahvistamatta. Organisaation riskiraporttiin ei siksi pidä kirjata vahvistamatonta tunnistetta tai olettaa tiettyä ydinversiota korjatuksi ilman jakelun tai palveluntarjoajan vahvistusta.
Miksi isäntäkoneen muistivuoto koskee myös pilvipalvelun asiakasta?
Isäntäkone on fyysinen palvelin, jonka resursseja virtuaalikoneet käyttävät. Vieraskone on sen päällä toimiva virtuaalikone. Näiden välisen eristyksen pitäisi estää vieraskonetta lukemasta isännän muistia tai vaikuttamasta muihin samalla alustalla toimiviin työkuormiin.
Moniasiakasympäristössä eristyksen heikkeneminen voi vaarantaa tietojen luottamuksellisuuden. Isäntäkoneen kaatuminen voi puolestaan keskeyttää useita palveluita samanaikaisesti. Muistin paljastuminen ei kuitenkaan yksin osoita, mitä tietoja on vuotanut tai onko muiden asiakkaiden tietoihin päästy käsiksi.
Suomalaisen yrityksen arjessa kysymys voi tulla vastaan esimerkiksi vuokratulla virtuaalipalvelimella toimivan WordPress-sivuston tai sovelluksen ylläpidossa. WordPress-ylläpito ja vieraskoneen päivitykset ovat edelleen tarpeellisia, mutta ne eivät osoita taustalla olevan virtualisointialustan turvallisuutta.
Suomi Solutionsin käytännön suositus on erottaa sovelluksen, vieraskoneen ja isäntäkoneen ylläpitovastuut toisistaan. Linux-tietoturvatarkastuksessa voidaan kartoittaa asiakkaan hallinnassa olevat järjestelmät ja tunnistaa, mistä asioista tarvitaan palveluntarjoajan kirjallinen selvitys. Näin korjauspyyntö kohdistuu oikeaan ylläpitokerrokseen.
Miten PwnEscape-riski selvitetään ja korjataan?
Isäntäkoneen haavoittuvuus korjataan isäntäkoneen tasolla jakelun tai palveluntarjoajan vahvistamalla korjauksella. Yksittäinen versionumero ei välttämättä kerro korjaustilannetta, sillä Linux-jakelut voivat sisällyttää tietoturvakorjauksia myös vanhempiin ydinversioihin.
- Kartoita ympäristöt. Selvitä Linux-isäntäkoneet, niiden jakelut ja ytimet sekä se, käsittelevätkö ne epäluotettavista virtuaalikoneista tulevaa verkkoliikennettä.
- Vahvista altistus ja korjaus. Tarkista jakelun tietoturvatiedotteet. Pyydä pilvipalveluntarjoajalta tieto oman palvelusi altistuksesta, korjaustilanteesta ja mahdollisesta huoltoikkunasta.
- Suunnittele käyttöönotto. Varmista palautumismahdollisuudet ja sovi mahdollisesta käyttökatkosta ennen isäntäkoneiden päivityksiä.
- Todenna lopputulos. Tarkista päivityksen jälkeen, että korjattu ydin tai toimittajan hyväksymä korjaus on todella käytössä. Pelkkä päivityspaketin asentaminen ei riitä todisteeksi.
- Kirjaa vastuut. Dokumentoi korjauksen toteuttaja, käytetty vahvistus ja avoimeksi jääneet kysymykset.
Suomi Solutions voi auttaa asiakkaan hallinnassa olevan palvelinympäristön päivitysten suunnittelussa ja käyttöönoton tarkistamisessa. Liiketoiminnan jatkuvuuden kannalta olennaista on yhdistää tekninen korjaus realistiseen huoltoikkunaan, ei tehdä kiireisiä muutoksia ilman palautumissuunnitelmaa.
Mitä tehdä, jos korjausta ei voi asentaa heti?
Epäluotettavien työkuormien verkkoyhteyksien rajoittaminen voi vähentää altistusta, mutta rajoitusten teho on arvioitava ympäristökohtaisesti. Tavallista palomuurisääntöä ei pidä olettaa riittäväksi suojaksi isäntäytimen pakettikäsittelyn virheeseen. Väliaikaiset rajoitukset eivät korvaa vahvistettua korjausta.
Tarkista myös virtualisointialustan poikkeamahavainnot, odottamattomat kaatumiset ja käytettävissä olevat verkkolokit. Lokien puuttuminen tai hälytysten vähäisyys ei osoita, ettei muistivuotoa olisi tapahtunut. Poikkeamien käsittelyohjeissa on hyvä määritellä, miten epäilty vieraskone eristetään ja kuka ottaa yhteyttä alustatoimittajaan.
Jos yrityksessä ei ole selvää, kuuluuko isäntäkoneen suojaus omalle ylläpidolle vai palveluntarjoajalle, aloita vastuurajan selvittämisestä. Suomi Solutions auttaa arvioimaan Linux-ympäristön altistusta ja sopimaan käytännön toimenpiteet, jotta päivitykset, palveluntarjoajan selvitykset ja käyttökatkoihin varautuminen etenevät saman suunnitelman mukaan.
