KVM或XEN虚拟机应对毒液漏洞的方法

毒液漏洞（VENOM）一出，整个虚拟化圈都炸了。这个漏洞有多严重？几乎覆盖了所有基于KVM和XEN的虚拟化产品。

为什么影响如此严重

根源在于KVM/XEN的虚拟硬件都靠QEMU模拟。安全研究员Jason Geffner发现QEMU的虚拟软盘控制器存在一个安全漏洞，代号VENOM（CVE-2015-3456）。利用这个溢出漏洞，攻击者可以从虚拟机里“逃逸”出来，在宿主机上执行任意代码。换句话说，有人能一脚踹开你的虚拟机大门，在主机上为所欲为。

虚拟机有没有软驱都会受影响

有意思的是，这个漏洞是首次被发现，目前还没见到实际利用案例。那段软盘驱动代码可以追溯到2004年，之后基本没人动过。之所以还留着，是因为有些老环境确实需要虚拟软盘驱动。关键是，无论你的虚拟机有没有挂载软驱，只要虚拟机有软驱控制器支持（默认都有），就存在这个漏洞。

如何处理漏洞

好消息是，各大厂商已经发布了补丁。操作很简单——升级。比如Red Hat/CentOS上，执行 yum update qemu-kvm，然后虚拟机先关机再启动。如果业务不能停，也有办法：如果用的是共享存储，先升级宿主机，然后在线迁移虚拟机；如果是单机，可以用带存储的迁移做慢迁移。

对公有云和私有云的影响

目前大部分公有云都是基于KVM或XEN，所以这个漏洞对它们影响很大。不过私有云因为是内部使用，风险相对可控。