Les évasions guest-to-host d'AHV sont héritées : parce qu'il utilise l'émulation de périphériques QEMU, les bugs d'évasion sont ceux du modèle de périphériques QEMU, donc l'approche consiste à identifier la build AHV par rapport à sa version QEMU et à faire correspondre un avis de sécurité sur un périphérique QEMU. Les vulnérabilités spécifiques à Nutanix se concentrent plutôt dans les services de la plateforme :
- Modèles de périphériques QEMU (hérités) : bugs virtio, NIC, stockage et USB comme sur Exploits d'évasion connus QEMU ; la correspondance de version se reporte.
- Prism et les API : contournements d'authentification, injection et failles de contrôle d'accès dans les interfaces Prism Element/Central et les API REST, donnant la compromission du plan de gestion.
- Services de la Controller VM : failles dans les services hébergés par la CVM et leur communication inter-CVM, donnant la compromission de la CVM ou du cluster.
Utiliser le modèle#
# fingerprint the AHV and platform version
ncli cluster info 2>/dev/null | grep -i version
# guest side: confirm the QEMU-emulated devices present (inherited surface)
lspci -nn; lsusb
Identifiez la version AHV/QEMU pour la surface de périphériques héritée, et la version Prism/AOS pour la surface de la plateforme, puis faites correspondre l'avis de sécurité pertinent. Les évasions de périphériques sont des bugs QEMU spécifiques à une version ; les bugs de la plateforme sont des avis de sécurité Nutanix.
Notes d'exploitation#
- Pour une évasion guest-to-host, traitez AHV comme QEMU : les mécanismes et la correspondance de version sont ceux de QEMU, sur la page évasion guest-to-host.
- Les bugs distinctement Nutanix se trouvent dans Prism et les services CVM ; ils donnent la compromission du plan de gestion ou de la Controller VM, ce qui (via la fabrique de stockage) atteint les données de chaque VM sans aucune évasion depuis l'invité.
- Vérifiez les deux surfaces de version : la version QEMU pour les évasions de périphériques et la version AOS/Prism pour les vulnérabilités de la plateforme.