Kann VM bei Pufferüberlauf schützen?

Alles rund um sicherheitsrelevante Fragen und Probleme.
Antworten
clue
Beiträge: 943
Registriert: 08.07.2007 17:36:57

Kann VM bei Pufferüberlauf schützen?

Beitrag von clue » 13.03.2017 18:50:47

Hallo, ich denke gerade über diese Frage im Titel nach. Wie sieht Eure Meinung dazu aus? Kann eine VM bei einem Pufferüberlauf innerhalb der VM das host-System schützen? Denn wenn ein Pufferüberlauf schon irgendwo im Speicher schreiben darf, warum dann nicht auch außerhalb der VM?
Offenbarung 13 erfüllt sich gerade vor unseren Augen, genießen wir also die letzten Jahre unserer Scheinfreiheit

breakthewall
Beiträge: 507
Registriert: 30.12.2016 23:48:51

Re: Kann VM bei Pufferüberlauf schützen?

Beitrag von breakthewall » 14.03.2017 06:02:02

clue hat geschrieben:Hallo, ich denke gerade über diese Frage im Titel nach. Wie sieht Eure Meinung dazu aus? Kann eine VM bei einem Pufferüberlauf innerhalb der VM das host-System schützen? Denn wenn ein Pufferüberlauf schon irgendwo im Speicher schreiben darf, warum dann nicht auch außerhalb der VM?
Eine VM kann davor nur in einem gewissen Rahmen schützen. Insbesondere nur dann wenn die VM selbst keine ausnutzbaren Sicherheitslücken hat, die einen Übergriff auf das Host-System ermöglichen. Generell würde ich VMs weniger Vertrauen schenken, zumal das letztlich auch nur Software ist die Fehler haben kann. Allerdings könnte man einer VM gewissermaßen mit Sandboxing unter die Arme greifen, indem die VM schon selbst in einer Sandbox gestartet wird.

Beispiel:

Code: Alles auswählen

firejail qemu-system-x86_64 -enable-kvm -hda boot.img -cdrom image.iso -boot d -m 2G
Damit wäre die VM selbst schon sehr stark eingeschränkt, womit ein übergreifendes Problem innerhalb der VM mitunter abgefangen werden kann. Also durchaus eine Überlegung wert, hier mehrere Sicherheitsschichten zu kombinieren, wenn das schon kernel-seitig so schön integriert und via firejail einfach nutzbar ist. Man darf die VM nur nicht mit Rootrechten starten, bzw. firejail, was wieder kontraproduktiv wäre. Immer nur mit Nutzerrechten arbeiten.

Antworten