QEMU 仮想フロッピードライブコントローラの脆弱性（通称：VENOM） CVE-2015-3456についてまとめてみた。

2015年5月13日にCrowdStrike社が仮想フロッピーディスクコントローラの脆弱性情報を公開しました。ここでは関連情報をまとめます。

脆弱性概要

脆弱性の概要情報は次の通り。

愛称	VENOM VIRTUALIZED ENVIRONMENT NEGLECTED OPERATIONS MANIPULATIONの略
アイコン	あり
CVE	CVE-2015-3456
発見者名	Jason Geffner氏 CrowdStrike シニアセキュリティリサーチャー
専用サイト	あり http://venom.crowdstrike.com/

QEMUの仮想フロッピードライブコントローラのコードに存在するバッファオーバーフローの脆弱性。この脆弱性を悪用された場合、攻撃者が仮想マシンから抜け出し、ホスト側のシステムに対してアクセス・任意のコード実行が可能となる恐れがある。

CrowdStrikeによる詳細解説

• VENOM Vulnerability Details » Adversary Manifesto

タイムライン

日時	出来事
2015年4月30日	CrowdStrikeが各ベンダのセキュリティ関係メーリングリストにVENOMに関する情報提供
2015年5月13日	パッチリリースを受け、CrowdStrikeが脆弱性情報を公開。

脆弱性評価

定量評価 (CVSS)

発信元	CVSS値
Redhat	7.4

評価詳細

評価尺度	Redhat
攻撃元区分	隣接
攻撃条件の複雑さ	中
攻撃前認証要否	単一
機密性への影響	全面的
完全性への影響	全面的
可用性への影響	全面的

定性的評価

Redhat	Important

『VENOMは近隣の家すべてに押し入るような攻撃』←ただしいったん同じアパートに部屋を借りないといけない、という条件はつきますね / “新たな脆弱性「VENOM」をセキュリティ企業が報告--広範な仮想プラットフォームに影響 - Z…” http://t.co/24TwHxFGfr

— 徳丸　浩 (@ockeghem) 2015, 5月 14

影響対象

影響を受ける製品・ベンダ

ベンダ・製品名	リリース	影響バージョン
Xen	Xen Security Advisory CVE-2015-3456 / XSA-133 version 2	Xen 4.5.x Xen 4.4.x Xen 4.3.x Xen 4.2.x
Oracle	Oracle Security Alert for CVE-2015-3456 "Venom" Vulnerability - CVE-2015-3456	VirtualBox 3.2, 4.0, 4.1, 4.2, 4.3 prior to 4.3.28 Oracle VM 2.2, 3.2, 3.3 Oracle Linux 5, 6, 7
Redhat	VENOM: QEMU 脆弱性 (CVE-2015-3456)	Red Hat Enterprise Linux 5 Red Hat Enterprise Linux 6 Red Hat Enterprise Linux 7 Red Hat Enteprise Virtualization 3 (RHEL 6) Red Hat Enteprise Virtualization 3 (RHEL 7) OpenStack Platform 4 (RHEL 6) OpenStack Platform 5 (RHEL 6) OpenStack Platform 5 (RHEL 7) OpenStack Platform 6 (RHEL 7)
CentOS	CentOS Errata and Security Advisory 2015:0998 Important CentOS Errata and Security Advisory 2015:0999 Important CentOS Errata and Security Advisory 2015:1002 Important CentOS Errata and Security Advisory 2015:1003 Important	CentOS 5 CentOS 6 CentOS 7
Debian	DSA-3259-1	squeez wheezy stretch sid jessie
Ubuntu	USN-2608-1: QEMU vulnerabilities Ubuntu Security Update on VENOM (CVE-2015-3456)	Ubuntu (vivid) Ubuntu 14.10 Ubuntu 14.04 LTS Ubuntu 12.04 LTS
SUSE	qemu/KVM/Xen: floppy driver allows VM escape ("VENOM" vulnerability, CVE-2015-3456)	SUSE Linux Enterprise Server 10 Service Pack 4 (SLES 10 SP3) SUSE Linux Enterprise Server 10 Service Pack 4 (SLES 10 SP4) SUSE Linux Enterprise Server 11 Service Pack 1 (SLES 11 SP1) SUSE Linux Enterprise Server 11 Service Pack 2 (SLES 11 SP2) SUSE Linux Enterprise Server 11 Service Pack 3 (SLES 11 SP3) SUSE Linux Enterprise Server 12 SUSE Linux Enterprise Expanded Support 5, 6 and 7
Scientific Linux	qemu-kvm (SL6)	SL6
FireEye	(PDF)VULNERABILITY SUMMARY	N/A
Citrix	Citrix Security Advisory for CVE-2015-3456	XenServer 6.5 XenServer 6.2.0 XenServer 6.1.0 XenServer 6.0.2 XenServer 6.0
F5	SOL16620: QEMU vulnerability CVE-2015-3456	N/A

真偽不明情報・有志の検証報告

真偽不明ながらESXiとFusionでPoCによりクラッシュさせたとのつぶやき

I confirmed this morning that the PoC for CVE-2015-3456 additionally crashes Guests on ESXi 5.5 and Fusion 7.1.1 #VENOM

— Dave Crawford (@PingTrip) 2015, 5月 14

この不明情報を受けて辻さんの検証報告。

このツイートを受けてESXiとVMware Player上のゲストOSでPoCの実行をしてみました。ESXiではこんな感じ。http://t.co/vUxN14FDll (続く https://t.co/Mxyt4BtrrT

— 辻 伸弘(nobuhiro tsuji) (@ntsuji) 2015, 5月 15

続き）VMware Playerではこんな感じ。両方、落ちるわけですがこれってVENOMを利用したって言えるんでしょうか。単に仮想フロッピーデバイスがDoS状態になっただけのような。うーん。（終り pic.twitter.com/ejK4rO8KGc

— 辻 伸弘(nobuhiro tsuji) (@ntsuji) 2015, 5月 15

VirtualBoxでの検証報告

@ntsuji vboxはデフォではFDC接続されてないので、それでかと。仮想マシンのストレージにFDC追加するとPoCで落ちます。

— gleenちゃさん (@gleentea) 2015, 5月 15

影響対象外の製品

次の製品はVENOMの影響を受けないとCrowdStrikeが報告している。

• VMware
• Bochs
• Microsoft Hyper-V

次の製品は影響を受けないと報告されている。

• Softlayer Update - VENOM Vulnerability

クラウド事業者への影響

事業者名	影響有無	リリース
DigitalOcean	影響あり	Update on CVE-2015-3456, aka the VENOM Security Vulnerability
rackspace	影響あり	IMPORTANT NOTICE – QEMU "VENOM" Vulnerability
UpCloud	影響あり?	ALL SERVICE AREAS: VENOM (CVE-2015-3456) vulnerability 2015年5月13日 19時(UTC)より順次アップデート開始。
さくらインターネット	影響あり (5/15修正)	【重要】VENOM（KVM・XenなどのQEMUの脆弱性）に関する対策について（18:50更新） 【重要】【さくらのVPS】「VENOM」脆弱性対応に伴うメンテナンス実施のお知らせ 【重要】基盤システム脆弱性対応に伴うサーバ・アプライアンス再起動のお願い さくらのVPS(全サーバ) さくらのクラウド（全サーバおよびアプライアンス） さくらの専用サーバ 専用サーバ 専用サーバ Platform
GMOインターネット(Conoha)	影響あり (5/15時点)	QEMUの脆弱性 CVE-2015-3456(VENOM)に関するお知らせ ConoHaのVPSサービス全て
GMOインターネット(VPS)	影響あり (5/15時点)	脆弱性VENOM（CVE-2015-3456）に関するお知らせ GMOクラウド ALTUS GMOクラウド public GMOクラウド VPS 以下は影響なし GMOクラウド レンタルサーバー GMOクラウド 専用サーバー
GMOインターネット(GMOアプリクラウド)	影響あり (5/15時点)	QEMUの脆弱性 CVE-2015-3456(VENOM)に関するお知らせ GMOアプリクラウドのVer2.1、3.0環境
KDDIウェブコミュニケーションズ	影響あり	【重要】VENOM(KVMの脆弱性)に関する当社サービスへの影響と対応について(第一報) 【重要】VENOM（KVMの脆弱性）に関する当社サービスへの影響と対応について（完報） CloudCore Hybrid クラウドサーバー 専用サーバーハイブリッドプラン仮想専用サーバー（CHV） CloudCore VPS
IDCフロンティア	影響なし	VENOM(CVE-2015-3456)に関する対応について
RCMS	影響なし	［影響なし］CVE-2015-3456の脆弱性に関して
Amazon(AWS)	影響なし	XSA Security Advisory CVE-2015-3456
Linode	影響なし	VENOM (CVE-2015-3456) Vulnerability and Linode

対策

• 各ベンダが公開しているパッチを適用する。

回避策

• Redhat/Ubuntuでセキュリティフレームワークを利用することで回避出来る可能性あり。詳しくはnekouriさんの記事参照のこと。
• QEMU自体に起因する脆弱性であるため、仮想環境で仮想フロッピードライブを接続しているかどうかは関係ない。

検証コード

次の検証コードが確認されている。（piyokangoはPoCは未検証です。）
https://marc.info/?l=oss-security&m=143155206320935&w=2

#include <sys/io.h>

#define FIFO 0x3f5

int main() {
        int i;
        iopl(3);

        outb(0x0a,0x3f5); /* READ ID */
        for (i=0;i<10000000;i++)
                outb(0x42,0x3f5); /* push */
}

JPCERT/CCによるPoC検証報告

CVE-2015-3456(通称 VENOM)の脆弱性の検証コードを用いて検証を実施した結果、ゲストOSからホストOSに影響を与える事を確認しました。ご使用の環境、サービスの対応状況について確認をお勧めします。^HT

— Analysis Center (@jpcert_ac) 2015, 5月 15

具体的には、Ubuntu 12.04 qemu-kvm 1.0+noroms-0ubuntu13 の環境にて、検証コードを用いて確認したところ、ホストOSで動作する QEMU-KVM プロセスが異常終了する事を確認しています。^HT

— Analysis Center (@jpcert_ac) 2015, 5月 15

QEMUの修正パッチ

• fdc: force the fifo access to be in bounds of the allocated buffer

関連リンク

• VENOM, don’t get bitten. | Red Hat Security
• Errata Security: Some brief technical notes on Venom
• How Poisonous is VENOM (CVE-2015-3456) to your Virtual Environments? | Rapid7 Community
• Extremely serious virtual machine bug threatens cloud providers everywhere | Ars Technica

主要メディア報道情報

N/A

更新履歴

• 2015年5月14日 PM 新規作成