maxtang 发布于 09月25, 2015

360MarvelTeam虚拟化漏洞第二弹 - CVE-2015-5279 漏洞分析

作者:360 Marvel Team 团队负责人 唐青昊 (新浪微博:SunSky0101)

前言:

云计算目前已成为一种被大多数互联网公司接受的服务模式,它提供了定制化的硬件资源,应用,以及服务。作为实现云计算构想的最重要的技术基石,虚拟化系统提供了硬件资源的量化分配和灵活调度,保证云业务的顺利实施。因此,云业务的健康发展,离不开虚拟化系统的稳定运行。

360 Marvel Team将陆续公开一系列独立发现的针对虚拟化软件高危0day漏洞的分析文章,揭开虚拟化攻击技术的神秘面纱。在9月29日的360 ISC 2015大会上,该团队安全研究员唐青昊,将进行关于《云虚拟化系统的漏洞挖掘技术》议题的演讲,在该议题中将分享漏洞挖掘的核心技术。

阅读全文 »

maxtang 发布于 09月25, 2015

360MarvelTeam虚拟化漏洞第一弹 - CVE-2015-6815 漏洞分析

前言

云计算业务目前已经触及到多个行业,无论是云存储,云音乐等生活中随处可见的业务,就连银行金融,支付信息等服务也都和云紧密相关。作为云服务的基础,虚拟化系统扮演着非常重要的角色,因为在云生态中主机的硬件多是由虚拟化系统模拟出来的。可以说,没有虚拟化系统的稳定运行,云业务的健康发展是不可能实现的。

360虚拟化安全团队(MarvelTeam)近日发现了多个虚拟化软件安全漏洞,使用kvm和xen作为虚拟化平台的公司业务都将会受这批漏洞影响。该漏洞一旦被攻击者恶意利用,可以造成三种类型的安全风险:;虚拟机宕机,影响业务;系统资源被强制占用,宿主机及所有虚拟机拒绝服务;虚拟机逃逸,攻击者在宿主机中执行任意代码。

360虚拟化安全团队(MarvelTeam)将陆续公开一系列针对虚拟化软件高危0day漏洞的分析文章,揭开宿主机攻击技术的神秘面纱。在9月29日的在ISC 2015大会上,该团队安全研究员唐青昊,将进行关于《云虚拟化系统的漏洞挖掘技术》议题的演讲,在该议题中将分享漏洞挖掘的核心技术。

阅读全文 »