Una vulnerabilidad crítica en el código utilizado por varias plataformas de virtualización puede poner la información empresarial almacenada en los centros de datos en riesgo.

La vulnerabilidad, conocida como Venom y asignada al CVE-2015-3456, puede permitir a un atacante salir fuera de los confines de una máquina virtual (MV) y ejecutar código en el sistema anfitrión.

Este límite de seguridad es fundamental en la protección de la confidencialidad de los datos de los centros de datos, donde la virtualización se utiliza ampliamente permitiendo a diferentes clientes ejecutar servidores en el mismo hardware físico.

La falla se encuentra en el código del controlador virtual de disquete (FDC) del virtualizador de código abierto QEMU. El código también es utilizado por Xen, KVM y otras plataformas de virtualización.

Los hipervisores VMware, Microsoft Hyper-V y Bochs no se ven afectados por la vulnerabilidad, según la firma de seguridad CrowdStrike, cuyo principal investigador de seguridad, Jason Geffner, encontró el problema.

Ha habido otras vulnerabilidades de escape de MV descubiertos en los últimos años, pero éste se distingue porque afecta a múltiples plataformas de virtualización en las configuraciones por defecto y es indiferente al sistema operativo huesped o anfitrión.

Los atacantes necesitan tener acceso de administrador en el sistema operativo invitado con el fin de explotar la falla y ejecutar código en el hipervisor. Una vez hecho esto, podrían tener acceso a otros servidores que se ejecutan en el mismo hipervisor o al tráfico de red procedente de todas las máquinas virtuales.

Debido a otro error, en Xen y QEMU, el código FDC vulnerable permanece activo incluso si el administrador inhabilita la unidad de disquete virtual para una máquina virtual, dijo CrowdStrike.

Los proyectos QEMU y Xen han liberado parches para hacer frente a esta vulnerabilidad.