Heartbleed よ、悔しかろう。脆弱性「VENOM」が、無数の VM を毒牙に掛ける～その広範囲に影響を及ぼす仮想化の欠陥は、10 年以上前から存在していた（The Register）

仮想化ハイパーバイザ QEMU で新たに発見された脆弱性は、これまで 10 年以上に渡り、バーチャルマシンを攻撃に晒されたままにしていたということを、セキュリティ研究者たちが明らかにした。

その発見者となった CrowdStrike のシニアセキュリティ研究者 Jason Geffner は、この脆弱性を「VENOM（Virtualized Environment Neglected Operations Manipulation）」と名付けた（編集部註：venom…ヘビや蜂などの毒、悪意）。

この脆弱性を上手く悪用することで、攻撃者はゲスト VM（ゲスト仮想マシン）をクラッシュさせる、あるいは QEMU プロセスと同じ実行権限を利用して、攻撃の影響を受けた VM から抜けだし、ホスト自体でコードを実行できる可能性がある。さらに攻撃者は、同じホストシステム上にある他のゲスト VM のデータにアクセスしたり、そこでコードを実行したりできる可能性もある。

このバグは、QEMU を実行しているシステムだけではなく、QEMU を利用した他の仮想化ソフトウェアにも影響を与えるため、非常に危険だと見なされている。ここで影響を受ける仮想化ソフトウェアには、広く利用されているオープンソースのハイパーバイザ KVM や Xen が含まれる。