La découverte de nouvelles failles de sécurité dans les logiciels de VMWare met l'accent sur certaines faiblesses propres à la virtualisation.

Alors que la virtualisation se glisse de plus en plus dans les systèmes d'information, une équipe de chercheurs IBM a mis la main sur une série de failles touchant de près ESX Server. Si VMWare, son éditeur, comblait dans la foulée cette série de douze trous dans une mise à jour livrée hier jeudi 20 septembre, cet épisode mettait en avant les quelques faiblesses d'une technologie très à la mode.

Les trois failles, pointées du doigt par IBM et jugées critiques pour les utilisateurs d'ESX Server, frapperait le serveur DHCP (Dynamic Host Configuration Protocol) livré avec l'application. Ce logiciel, qui répartit les adresses IP entre les différentes machines virtuelles, pourrait ainsi servir à prendre la main à distance sur le serveur.

Pour Tom Cross, chercheur à l'Internet Security Group d'IBM : « en prenant le contrôle de la machine, l'attaquant peut accéder à n'importe quelle machine virtuelle présente. » Un point gênant car les chercheurs - et les entreprises - utilisent souvent des machines virtuelles pour isoler certaines applications sensibles.

Un danger confirmé par Dave Aitel, directeur technique d'Immunity, un éditeur spécialisé dans la sécurité. « Les serveurs font souvent tourner une application vulnérable sur une machine virtuelle et ont des informations confidentielles sur une autre, isolées par VMWare. VMWare ESX est devenu très populaire parmi les environnements hôtes, ce type de bogue peut prendre des proportions effarantes si vous trouvez une faille distante sur une machine virtuelle. »

Les machines virtuelles, prochaines bêtes noires des éditeurs
Une autre faille, découverte par les équipes de McAfee, permettrait également de prendre le contrôle de machines virtuelles, mais elle serait plus complexe à mettre en place. Toutefois, pour David Marcus, chercheur chez McAfee, l'existence même de ces exploits va pousser les chercheurs en sécurité informatique à s'intéresser de plus près aux machines virtuelles : « si vous pouvez attaquer une machine virtuelle et de là passer sur le système d'exploitation hôte, alors vous avez la mainmise sur toutes les machines virtuelles présentes. »

. Web-profils.com, la place de marché du conseil et de l'ingénierie