仮想環境の分離が意味をなさなくなる脆弱性「VENOM」：クラウド事業者らが調査進める、引き続き情報に注意を

XenやKVMなどの仮想化プラットフォームに利用されているオープンソースのエミュレーター「QEMU」に、仮想マシンを抜け出すことが可能な脆弱性「VENOM」が発見された。ベンダーやクラウドサービス事業者が調査、対応を進めている。

[高橋睦美，＠IT]

　2015年5月13日、XenやKVMなどの仮想化プラットフォームに利用されているオープンソースのエミュレーター「QEMU」に、仮想マシンを抜け出すことが可能な脆弱性（CVE-2015-3456）が発見された。悪用されれば、同一のハイパーバイザー上に同居している他の仮想マシンやホストOSにアクセスされ、任意のコードを実行される恐れがある。

　影響を受けるハイパーバイザーは、Xen、KVMなどで、利用しているホストOSには依存しない。一方、VMwareやMicrosoft Hyper-V、Bochs、はこの脆弱性の影響を受けない。

　脆弱性のある仮想環境では、悪意を持ったゲストOSユーザーが、細工を施したFDCコマンドを送り込むことにより任意のコードを実行することが可能となる。設定されている権限によっては、root権限を持った形でホストOSにアクセスできてしまう恐れがある。CrowdStrikeはこの脆弱性を「VENOM（Virtualized Environment Neglected Operations Manipulation）」と名付けている。

　つまり当該QEMUを利用している仮想化環境やクラウドサービスでは、マルチテナント環境におけるゲストOS間の分離が機能しなくなり、悪意を持った他の利用者によって情報を盗み見られたり、設定を変更される恐れがある。

　脆弱性を発見した米セキュリティ企業のCrowdStrikeによると、脆弱性はQEMUの仮想フロッピーディスクコントローラー（FDC）に存在する。現時点で実際にフロッピーディスクを利用しているシステムはほとんど存在しないと思われるが、FDCのコード自体はQEMUの中に残っており、仮想マシン追加時にデフォルトで追加されるため、影響を受けてしまう。

CrowdStrikeが公表したVENOMを悪用した攻撃のイメージ

VENOMの影響範囲は？ 調査進める事業者各社

　影響を受けるプロダクトやサービスは、「Xenなどを用いて自社で運用している仮想環境」「パブリッククラウドサービス」「仮想環境を活用したアプライアンス」の3つに分類できるだろう。いずれも対策はパッチを適用することだが、中にはベンダー側がまだ「調査中」の段階というものもある。

　まず自社でXenなどを用いて仮想環境を用いている場合、QEMU本体の他、Xen ProjectやRed Hat、CentOS、Debian、UbuntuなどがVENOM対処のためのパッチをリリースしているため、早期の適用が推奨される。

　クラウドサービスについては、事業者側が相次いで影響を調査し、対応を公開している。例えばAmazon Web Services（AWS）やSoftLayerはこの問題の影響を受けず、リスクはないことを表明した。一方、Rackspaceでは一部のサービスが影響を受けることが判明。同社側で適用したパッチを有効にするために電源の再起動を行うことをユーザーに推奨している。

　国内でもいくつかの事業者が影響範囲の調査と情報公開を進めている。例えばさくらインターネットでは「さくらのレンタルサーバ」は影響を受けないが、「さくらのVPS」「さくらのクラウド」がこの脆弱性の影響を受けることが明らかになったため、パッチの準備並びに検証作業を進めており、完了次第アップデートを実施することを表明した。一方IDCフロンティアはVENOMの影響を受けないことを報告している。GMOクラウドVPSのように、調査中というステータスの事業者もある。

　さらに、近年、仮想環境を活用したセキュリティアプライアンス機器が増えている。こうしたアプライアンスのベンダーも脆弱性の影響に関する調査を進めており、例えば米FireEyeでは、可能な限り早期にアップデートを行うよう推奨し、サポートチャネルを通じて詳細を告知していくと表明している。

　今のところ、VENOMを悪用した攻撃は報告されていないが、汎用的な回避策も示されていない。引き続き、ベンダーやクラウド事業者が提供する情報に留意していく必要があるだろう。