Évasion de Machines Virtuelles

L’évasion de machines virtuelles (VM) est un exploit par lequel l’attaquant exécute un code sur une VM afin qu’un système d’exploitation exécuté dans cette VM « s’évade » et interagisse directement avec l’hyperviseur.

Ce type d’exploit peut permettre à l’attaquant d’accéder au système d’exploitation hôte et à toutes les autres machines virtuelles exécutées sur cet hôte. Bien qu’aucun incident de ce type n’ait encore été signalé, l’évasion de VM est considérée comme l’une des menaces les plus graves pour la sécurité des machines virtuelles.

Les machines virtuelles sont conçues pour être exécutées dans des environnements isolés et autonomes au sein de l’hôte. En réalité, chaque VM devrait être un système distinct, isolé du système d’exploitation hôte et de toutes les autres VM exécutées sur la même machine. L’hyperviseur sert d’intermédiaire entre le système d’exploitation hôte et les machines virtuelles. Il contrôle le processeur de l’hôte et alloue les ressources requises à chaque système d’exploitation invité. 

Ed Skoudis (président du SANS Technology Institute) décrit ainsi le risque encouru : « Si l’attaquant peut mettre en péril les machines virtuelles, il y a fort à parier qu’il pourra contrôler l’ensemble des invités, étant donné que ces derniers ne sont que des sous-ensembles du programme. De plus, la plupart des machines virtuelles sont exécutées avec des privilèges très élevés sur l’hôte. En effet, une VM doit disposer d’un accès complet au matériel de l’hôte afin de pouvoir mapper le matériel physique avec le matériel virtuel pour les invités. Par conséquent, si les machines virtuelles sont atteintes, non seulement vous pouvez dire adieu aux invités, mais il y a de fortes chances pour que l’hôte soit également perdu. »

Pour vous aider à minimiser les vulnérabilités à l’évasion de VM, Ed Skoudis fait les recommandations suivantes :

• Appliquer systématiquement les correctifs disponibles aux logiciels des machines virtuelles.
• N’installer que les fonctions de partage de ressources qui sont indispensables.
• Installer le moins de logiciels possible, car chaque programme apporte son lot de vulnérabilités.