安全供应商CrowdStrike透露了在一款流行的虚拟化软件中发现的漏洞的细节，该漏洞允许攻击者在通过执行代码访问主机的同时逃离受损的虚拟机，从而导致整个云都容易受到攻击。

检测到的漏洞被确定为虚拟化环境忽略操作操纵(毒液)，这是一种开源代码库中的漏洞，也称为QEMU。后者据说在云计算中被广泛使用。它具有模拟在非常老的机器中常见的软盘软件的能力。

“毒液可能会将公司机密或敏感信息置于风险之中，可能会影响数千家组织和数百万终端用户。”说CrowdStrike的官方网站。

毒液是攻击流行开源产品的最新漏洞。2014年，Shellshock和Heartbleed漏洞也被报道过。后者在广泛使用的开源产品中突然出现，促使非营利组织Linux基金会从一些技术公司那里筹集资金，开展开源项目的安全审计活动。万博体育登录首页这些公司包括微软、bb0、Facebook、思科等公司。

“这种虚拟化意味着我们通常无法判断哪些外部组织的工作负载可能在与我们系统相同的物理服务器上运行。”说RedSeal的首席技术官迈克·劳埃德在一封电子邮件中写道。“原则上，对他们共享云基础设施系统的攻击可能会蔓延到我们的系统，造成潜在的多米诺骨牌效应。”

幸运的是，Venom与Heartbleed有些不同，因为据说已经有几个平台的补丁可用。更多的补丁也将在不久的将来发布。发布的一些补丁包括来自F5、Ubuntu Linux、Suse、Red Hat、QEMU、FireEye、Citrix和Xen Project的补丁。

“这很严重，但并不严重。没有已知的野外攻击，并且有补丁可用。”说卡尔·西格勒，Trustwave的威胁情报经理。

Rapid7的研究经理Tod Bearsley补充说，那些受到严重影响的人已经转向托管VPS服务。

换句话说，黑客可以欺骗服务器将其程序的副本放入通常无法访问的内存区域。当这一点实现时，黑客将能够通过安全保护并最终不受阻碍地运行程序。

劳埃德说:“应该优先处理这个补丁，在几乎所有情况下，短暂的服务中断都是值得的。”

图片来源:英特尔自由出版社Flickr