影響全球數據中心：從被遺忘的虛擬 Floppy 中找出嚴重漏洞

安全漏洞天天都多，而近日又有一個全新的 Venom 安全漏洞正威脅著全球數據中心。該漏洞來自極高使用率的虛擬化軟件及其通用組件，黑客只需加以利用有關漏洞，便可滲透連接到數據中心網絡的每一台機器之中。

目前大多數數據中心都將客戶密集地放置於一台虛擬機器之上以及更有成本效益地提供服務，或是將多個操作系統密集地置於單一的伺服器上。虛擬化系統本意是共享資源，但虛擬化系統在主機管理程序裏仍然是獨立的實體。虛擬機的運行由主機管理程序操控。

而新發現的漏洞名為 Venom，全名為 Virtualized Environment Neglected Operations Manipulation，縮寫為 Venom，黑客可以利用 Venom 無障礙地連入虛擬機管理程序，因而亦可連結在數據中心網絡上的所有設備。

Venom 漏洞源於傳統的虛擬 Floppy，如果虛擬 Floppy 控制器收到特制的代碼，整個虛擬機管理程序就會崩潰。如此黑客便可以從自己的虛擬機連接到其他機器內，包括其他客房或其他公司擁有的機器。

有關漏洞是在 QEMU 裏發現的，早於 2004 年便已發現。許多現代虛擬化平台（如 Xen、KVM 和 Oracle 的 VirtualBox）都內含該段有問題的代碼。

VMware、微軟 Hyper-V 和 Bochs 的虛擬機管理程序不受影響

漏洞是由 CrowdStrike 的 Jason Geffner 發現的。他在周二一次電話訪談時表示「數以百萬計的虛擬機在使用含有該漏洞的平台。」

Venom 漏洞可能是今年發現的最大漏洞之一，並且比起 Heartbleed 將會做成更大影響。Heartbleed 漏洞影響到開源加密軟件 OpenSSL，可被不壞好意的人加以利用，以獲取受影響的伺服器中的數據。

Geffner 以一個比喻解釋兩個漏洞的不同之處，節錄如下：「Heartbleed 能讓對手通過房子的窗戶看到數據，接著進一步收集訊息；Venom 則可以讓人潛入到一棟房子裏，以及附近所有的房子裏。」

Venom 十多年來未引起注意，原因是誰也不會對傳統的 Floppy 系統作出深究。而幾乎每一個虛擬化軟件裏卻都包含著傳統的虛擬化 Floppy。