Reale Löcher in virtuellen Maschinen

In einem Vortrag auf der Sicherheitskonferenz CanSecWest enthüllte Google-Mitarbeiter Tavis Ormandy, dass die Abschottung virtueller Maschinen keineswegs perfekt ist. In vielen Fällen könnte Schadsoftware aus dem virtuellen System ausbrechen und das Host-System übernehmen.

Antivirenforscher setzen virtuelle Maschinen besonders gern ein, um Schädlinge zu untersuchen. Dort kann sich das Ungeziefer unter Beobachtung nach Herzenslust austoben, ein Mausklick macht alle Modifikationen wieder rückgängig. Dumm wäre es allerdings, wenn ein Wurm dabei aus seinem Laborgefängnis ausbrechen und auf das Host-System überspringen könnte.

Für seine Studie An Empirical Study into the Security Exposure to Hosts of Hostile Virtualized Environments untersuchte Ormandy deshalb diverse virtuelle Umgebungen wie Qemu und VMware auf Sicherheitslücken, die einen solchen Ausbruch ermöglichen könnten, und wurde prompt fündig. Bei Qemu fand der Forscher mit Hilfe von Fuzzing-Tools gleich mehrere Pufferüberläufe, die ein Programm im virtuellen System auslösen und derart ausnutzen könnte. Auch bei VMware spürte Ormandy einen Fehler im Power-Management auf, über den ein virtualisierter Angreifer eventuell Code ins Host-System einschleusen könnte.

Insgesamt kommt Ormandy zu dem Schluss, dass Virtualisierung beileibe nicht das Allheilmittel sei, für das es viele Security-Experten offenbar halten. Thorsten Holz vom deutschen Honeynet-Projekt erläutert denn auch, dass man deshalb für CWSandbox bereits mit Hardware-Lösungen experimentiere, die ein Zurücksetzen des Systems auf einen gesicherten Zustand erlauben. (ju)