29 kwietnia 2015 roku firma CrowdStrike odkryła bardzo poważny błąd w QEMU, któremu nadano nazwę VENOM (oznaczenie robocze CVE-2015-3456). Podatność pozwala atakującemu na tzw. ucieczkę z systemu maszyny wirtualnej i potencjalne wykonanie kodu na maszynie hostującej oraz innych maszynach wirtualnych. Stwarza to ogromne niebezpieczeństwo wycieku wrażliwych korporacyjnych danych. VENOM został znaleziony w kodzie wirtualnego kontrolera stacji dyskietek (virtual Floppy Disk Controller), który jest używany przez wiele platform wirtualizacyjnych i urządzeń od 2004 roku.
Najważniejsze z nich to KVM, Xen i natywny klient QEMU. Na atak nie są podatni hipernadzorcy: VMware, Microsoft Hyper-V i Bochs. Błąd jest w pełni niezależny od systemu i może zostać wykorzystany na systemach Windows, OS X, Linux i wielu innych. Atakujący musi posiadać w takim przypadku pełne prawa administracyjne.
Odpowiednie łatki, poradniki oraz powiadomienia zostały już opublikowane:
- QEMU: http://git.qemu.org/?p=qemu.git;a=commitdiff;h=e907746266721f305d67bc0718795fedee2e824c
- Xen Project: http://xenbits.xen.org/xsa/advisory-133.html
- Red Hat: https://access.redhat.com/articles/1444903
- Citrix: http://support.citrix.com/article/CTX201078
- FireEye: https://www.fireeye.com/content/dam/fireeye-www/support/pdfs/fireeye-venom-vulnerability.pdf
- Linode: https://blog.linode.com/2015/05/13/venom-cve-2015-3456-vulnerability-and-linode/
- Rackspace: https://community.rackspace.com/general/f/53/t/5187
- Ubuntu: http://www.ubuntu.com/usn/usn-2608-1/
- Debian: https://security-tracker.debian.org/tracker/CVE-2015-3456
- Suse: https://www.suse.com/support/kb/doc.php?id=7016497
- DigitalOcean: https://www.digitalocean.com/company/blog/update-on-CVE-2015-3456/
- f5: https://support.f5.com/kb/en-us/solutions/public/16000/600/sol16620.html
