Objevená zranitelnost přináší rizika při virtuálním provozu Windows

Chyba se objevuje ve virtualizačním softwaru společnosti Microsoft, například ve Windows XP Mode, což je bezplatný doplněk pro Windows 7, který umožňuje uživatelům spouštět na tomto nejnovějším operačním systému i starší aplikaci za pomoci virtuálního systému.

Společnost Core Security oznámila tuto trhlinu ve středu, sedm měsíců poté, co ji objevila, jelikož Microsoft odmítá přijít s opravou. "Nevěří tomu, že tento problém potřebuje patch," prozradil Ivan Arce, technický ředitel firmy Core Security v interview ve středu. "Tvrdí, že opraví tuto chybu v budoucnu v service packu. My si myslíme, že tato trhlina by měla být opravena dříve." Společnost Microsoft potvrzuje, že tento bug objevující se v softwaru Virtual PC, Virtual PC 2007 a Virtual Server 2005 nepovažuje za bezpečnostní riziko, jelikož chyba zabezpečení podle nich již musí být přítomna v systému, který využívá virtuální prostředí.

Zranitelnost dovoluje útočníkům obejít několik hlavních obranných zabezpečení systému Windows, například DEP (data execution prevention) a ASRL (address space layout randomization), které jsou vytvořeny za účelem odražení různých typů útoků proti systémům Windows XP, Vista a 7.

Firmy Core Security a Microsoft mají jiný názor na nutnost opravy. "Nesouhlasíme s rozhodnutím Microsoftu neopravit tuto chybu," dodává Arce. "Aplikace ve virtuálním prostředí jsou mnohem jednoduššeji napadnutelné, než když běží na reálném hardwaru. To by se mělo opravit." Společnost Core Security se snaží tlačit na Microsoft, aby tuto trhlinu opravil, proto zvěřejnila svůj rozsáhlý popis (http://www.coresecurity.com/content/virtual-pc-2007-hypervisor-memory-protection-bug). "Chápeme, že pro ně může být težké tuto chybu opravit, ale tím,  že na ně budeme vyvíjet tlak, je donutíme opravit tuto chybu dříve," dodává Arce.

Ačkoliv hostovaný operační systém, který využívá virtuální prostředí, je v nebezpečí, operačního systému, jenž běží na reálném hardwaru, se hrozba netýká, ubezpečuje Microsoft uživatele. Nicméně Paul Cooke, ředitel pro oblast bezpečnostních technologií v systémech Windows ve společnosti Microsoft, doporučuje uživatelům, aby využívali virtuální aplikace jen v případě, že je to nezbytné. Společnost Core Security doporučuje spouštět aplikace pro Windows na nevirtuálních systémech nebo využívat alternativní virtualizační software.