2014.10.02

젠 하이퍼바이저, 심각한 취약점 드러나…가상 서버 보안 위험

Lucian Constantin | IDG News Service
젠 프로젝트가 젠 하이퍼바이저의 심각한 취약점을 상세하게 공개했다. 이번에 공개된 취약점은 수많은 젠 기반 가상 서버의 보안을 위험에 처하게 할 수 있는 것으로 알려졌다.

젠은 무료 오픈소스 하이퍼바이저로, 클라우드 서비스 업체나 가상 프라이빗 서버 호스팅 업체 등에서 폭넓게 사용되고 있다.

이번에 공개된 보안 취약점 CVE-2014-7188은 주요 클라우드 서비스 업체들에게 미리 알려졌고, 이 때문에 최소한 아마존 웹 서비스와 랙스페이스가 지난 주 동안 자사 고객의 가상 서버 중 일부를 재기동(rebooting)해야만 했다.

이 취약점 때문에 젠의 하드웨어 지원 가상화(HVM)를 사용해 생성한 가상머신이 동일한 하드웨어를 물리적으로 공유하는 다른 HVM 게스트가 저정한 데이터를 읽을 수 있다. 이는 멀티테넌트 가상 환경에서 가장 중요한 보안 장벽을 깨뜨리는 것이다.

또한 악의적인 HVM 게스트가 이런 약점을 이용해 호스트 서버를 망가뜨릴 수도 있다.

이번 취약점은 x86 서버 상에서 구동되는 젠 가상머신에만 영향을 미치며, ARM 기반 서브나 젠 PV 모드 가상머신에는 악영향을 미치지 않는다.

그럼에도 불구하고 이번 취약점은 매우 큰 규모의 서버에 보안 문제를 일으킬 것으로 보인다. 아마존은 패치를 적용하기 위해 자사 EC2 서버의 10%를 재기동했으며, 랙스페이스 역시 자사 20만 고객 중 1/4에 해당하는 서버에 같은 작업을 수행해야 했다.

아마존은 이런 재기동 작업의 일정을 조율해 동시에 두 개 지역이나 가용 지역에 피해가 가지 않도록 했다. 하지만 랙스페이스의 경우는 완전히 매끄럽게 처리하지 못한 것으로 보인다. 랙스페이스 CEO 테일러 로드스는 고객들에게 보낸 메일을 통해 자사가 취약점을 처리하는 과정에서 약간의 실수를 했다고 인정했다.  ciokr@idg.co.kr



2014.10.02

젠 하이퍼바이저, 심각한 취약점 드러나…가상 서버 보안 위험

Lucian Constantin | IDG News Service
젠 프로젝트가 젠 하이퍼바이저의 심각한 취약점을 상세하게 공개했다. 이번에 공개된 취약점은 수많은 젠 기반 가상 서버의 보안을 위험에 처하게 할 수 있는 것으로 알려졌다.

젠은 무료 오픈소스 하이퍼바이저로, 클라우드 서비스 업체나 가상 프라이빗 서버 호스팅 업체 등에서 폭넓게 사용되고 있다.

이번에 공개된 보안 취약점 CVE-2014-7188은 주요 클라우드 서비스 업체들에게 미리 알려졌고, 이 때문에 최소한 아마존 웹 서비스와 랙스페이스가 지난 주 동안 자사 고객의 가상 서버 중 일부를 재기동(rebooting)해야만 했다.

이 취약점 때문에 젠의 하드웨어 지원 가상화(HVM)를 사용해 생성한 가상머신이 동일한 하드웨어를 물리적으로 공유하는 다른 HVM 게스트가 저정한 데이터를 읽을 수 있다. 이는 멀티테넌트 가상 환경에서 가장 중요한 보안 장벽을 깨뜨리는 것이다.

또한 악의적인 HVM 게스트가 이런 약점을 이용해 호스트 서버를 망가뜨릴 수도 있다.

이번 취약점은 x86 서버 상에서 구동되는 젠 가상머신에만 영향을 미치며, ARM 기반 서브나 젠 PV 모드 가상머신에는 악영향을 미치지 않는다.

그럼에도 불구하고 이번 취약점은 매우 큰 규모의 서버에 보안 문제를 일으킬 것으로 보인다. 아마존은 패치를 적용하기 위해 자사 EC2 서버의 10%를 재기동했으며, 랙스페이스 역시 자사 20만 고객 중 1/4에 해당하는 서버에 같은 작업을 수행해야 했다.

아마존은 이런 재기동 작업의 일정을 조율해 동시에 두 개 지역이나 가용 지역에 피해가 가지 않도록 했다. 하지만 랙스페이스의 경우는 완전히 매끄럽게 처리하지 못한 것으로 보인다. 랙스페이스 CEO 테일러 로드스는 고객들에게 보낸 메일을 통해 자사가 취약점을 처리하는 과정에서 약간의 실수를 했다고 인정했다.  ciokr@idg.co.kr

X