情報セキュリティ技術動向調査(2008年上期)
6 仮想化ソフトウェアのセキュリティ
面 和毅
仮想化というキーワードは昨年からIT 業界でホットな流行語となっており、様々な製品が市場に出て来ている。
1 仮想化製品のセキュリティアドバイザリ
仮想化製品の2008 年上半期でのセキュリティアドバイザリをふりかえる。下記の3 つの仮想か製品について調査を行った。
(1) VMWare
(2) Xen
(3) VirtualPC/HyperV
(1) VMWare
米 VMware、管理スイートに災害復旧機能を追加(2008年5月14日)
i) VMSA-2008-0005.1(2008 年3 月21 日)
VMWare 製品群に見付かった、数種類のセキュリティ脆弱性の修正となっている。
- ホストOS がWindows の際に、ゲストOS との間で共有フォルダ(HGFS)を使った際に、ゲストOS からホストOS のファイルシステムにアクセスして実行可能なファイルを作成できる可能性があるという脆弱性が発見されたため、修正が行われた。
- 悪意のあるユーザが"authd"処理で名前付きパイプを用いてコントロールし、LocalSystem 権限を取得して悪用できるという脆弱性が発見されたため、修正が行われた。
- さまざまなセキュリティ上の脆弱性を取り除くために、libpng ライブラリがバージョン1.2.22 に更新された。
- 古いバージョンのOpenSSL ライブラリ中に発見された脆弱性を取り除くために、OpenSSL ライブラリが更新された。
- Windows2000 がホストOS となっている場合に、いくつかの脆弱性のあるプロセスを通じて不正な権限昇格が行われる脆弱性が発見されたため、修正が行われた。
- ホストOS 上で動作しているDHCP サーバに影響するDoS 脆弱性が修正された。
- "config.ini" ファイルのパーミッションの問題。権限の無いユーザが、セキュリティ回避または、VMX 起動または、フルパス操作を行うことが可能なため、修正が行われた。
- VirtualMachine Communication Interface(VMCI)で、メモリの破損が発生することが確認されたため、修正が行われた。
ii) VMSA-2008-0006 Updated libxml2 service console package (2008 年3 月28 日)
libxml2 パッケージにDoS 脆弱性があったため修正を行った。
iii) VMSA-2008-0009.1 (2008 年6 月4 日)
VMware Host Guest File System (HGFS) 共有フォルダ機能にbuffer overflow する欠陥があり、guest から任意のコードをvmx プロセス権限で実行できる脆弱性があったため、修正を行った。
(2) Xen
CVE-2008-1619 (2008 年4 月2 日)
IA64 アーキテクチャ上のXen 5.1 内でssm_i エミュレーションを動作させた際に、ドメイン0(dom0)にDoS 攻撃を行ってPanic を起こさせることができるという脆弱性が発見された。
(3) Virtual PC/Hyper V
該当は無かった。
2 仮想化製品とセキュリティ技術
米 VMware 社が2008年3月27日に、仮想環境で実行されているアプリケーションを保護する新セキュリティ技術「VMware VMsafe API」を発表した。
(1) VMSafe 前
これまでのセキュリティ製品では、各ゲストOS 内にエージェントをインストールして、各ゲストOS を通常の物理システムと同様に見立ててセキュリティの対応を行って来た。
また、セキュリティに特化した仮想アプライアンスを使用し、仮想スイッチを使って他のゲストOS に接続してトラフィックなどを監視していた。しかし、VMotion のように、仮想マシンを動的に別のホストOS 上に移動した際には、ライブ移行と再起動のプロセスが複雑になってしまっていた。
(2) VMSafe 後
VMsafe API を用いると、ウイルス対策のようなセキュリティ製品は依然として各ゲストOS 内にインストールする必要があるが、ハイパーバイザーを介して他の仮想マシン内部で起こっていること(CPU ステータス、メモリ、OS プロセス、トラフィックなど)を監視することができる。
これにより、ハイパーバイザーレベルでセキュリティポリシーを強制できる専用のセキュリティアプライアンスを作成すればAntivirus をオンラインにしていないゲストOS の内部も監視することができるため、オンライン／オフライン両者を保護することができる。
図：vmsafe_antivirus
また、ハイパーバイザーレベルでアクセスできるため、全ての仮想マシンの仮想ネットワークを監視したり切替えたりすることができる。
図：vmsafe_kernel
その他にも、各ホストOS に仮想アプライアンスをあらかじめインストールしておけば、VMotion を使ってゲストOS を他のホストOS に切替えた際にも、動的に処理を引き継ぐことが可能になる。
図：vmsafe_vmotion
このVMsafe API を利用して、CheckPoint やMcAfee、Symantec といった20 以上のセキュリティ企業が現在セキュリティ製品の開発を行っている。
以上