Поделиться
Без поддержки. Чем опасна виртуализация на базе oVirt
После ухода Red Hat из проекта oVirt компании по всему миру продолжают использовать платформу виртуализации, которая осталась без ключевого разработчика. При этом после ухода VMware из России всё больше отечественных компаний переходят на российские решения с открытым кодом. Почему oVirt из инструмента импортозамещения превращается в потенциальный источник киберинцидентов — в материале CNews.
Корабль без управления
Платформа oVirt — это система виртуализации с открытым кодом, предназначенная для развёртывания и управления виртуальными машинами в корпоративной инфраструктуре. До недавнего времени она развивалась при непосредственном участии американской компании Red Hat, одного из крупнейших мировых игроков в области Linux и open source.
В мае 2024 года Red Hat официально свернула участие в проекте. Вместе с уходом разработчика закончилась и регулярная поддержка системы — в первую очередь обновления безопасности. Новые версии продуктов Red Hat не тестируются на совместимость с oVirt. Ключевые решения, построенные на базе oVirt, включая Red Hat Virtualization, признаны устаревшими.
В результате система становится уязвима для внешних воздействий, при этом её продолжают использовать десятки тысяч серверов.
Уязвимости с подтверждённым действием
По данным открытых реестров уязвимостей, в oVirt и его окружении накапливаются критические уязвимости — и многие из них остаются не закрытыми в течение месяцев. В частности, уязвимости позволяют получить полный доступ к серверу, запустить вредоносное ПО или обойти системы аутентификации.
Одна из самых известных уязвимостей — Dirty Pipe, обнаруженная в ядре Linux. Она позволяет обойти ограничения обычного пользователя и получить права администратора, фактически открывая доступ ко всей системе. Если на хост-сервере установлен уязвимый дистрибутив, злоумышленник может не только захватить управление, но и использовать платформу для атаки на другие виртуальные машины.
Другие уязвимости, обнаруженные в oVirt, связаны с обходом авторизации, доступом к API без проверки прав и возможностью запуска команд от имени системных процессов. Все они официально зарегистрированы и подтверждены, но патчи для них не выпускаются — просто потому, что проект больше не поддерживается на уровне индустриального вендора.
На фоне ухода иностранных вендоров и активного курса на импортозамещение, многие российские компании рассматривают oVirt как корпоративную платформу виртуализации. Платформа oVirt работает на открытом коде, совместима с гипервизором KVM, потребитель не должен делать регулярные лицензионные отчисления.
Однако технически все решения oVirt сейчас базируются на коде, в котором уже зафиксированы десятки уязвимостей.
Иллюзия контроля
В отличие от «закрытых» коммерческих решений, платформа oVirt предоставляет много свободы на уровне узлов (серверов-гипервизоров). В рамках стандартной установки, так называемый oVirt Node — это обычный Linux, с открытым доступом к командной строке и возможностью установки сторонних пакетов. Фактически это сервер, на котором пользователь может делать почти всё, что угодно.
Если такой сервер оказывается подключён к корпоративной сети, и если опытным администратором не настроены дополнительные механизмы защиты, он может стать точкой входа для атак: от скрытого майнинга до кражи данных.
Другой риск связан с использованием интерфейсов удалённого управления серверами — IPMI. В кластерах высокой доступности (HA-кластерах), где отказавший узел должен быть оперативно отключён от общего пула, доступ к IPMI-интерфейсу критичен. Однако зачастую эти интерфейсы подключаются к внутренней сети, без должного уровня изоляции и шифрования. В такой конфигурации любой сотрудник с доступом в сеть может получить доступ к управлению сервером на уровне «выключить», «перезагрузить» и «скачать всё, что там есть».
Главная проблема oVirt
Платформа oVirt построена на глубоко устаревшей архитектуре, неспособной обеспечить базовый уровень защищённости в корпоративной среде. Управляющий сервер использует громоздкий стек на Java и требует сложной ручной настройки, в том числе внешних сервисов и специфичных библиотек, что усложняет как развёртывание, так и сопровождение платформы.
В реализации работы хостов система предполагает, что каждый гипервизор функционирует как самостоятельный узел без встроенных ограничений или средств контроля со стороны управляющего компонента. В такой конфигурации администратор имеет слишком широкий доступ, а сама платформа не предусматривает механизмов технического принуждения к политике безопасности. Это создаёт принципиально неуправляемую среду.
Даже при минимальной атакующей активности возможно вмешательство в работу всего кластера — через внутренние сервисы, слабые места в сетевых связях или логические уязвимости в отказоустойчивой конфигурации. Особенно опасно это становится в ситуациях, когда инфраструктура строится без изоляции компонентов и без сегментации по уровням доверия, которые обычно сопутствуют платформе oVirt.
Отказ от VMware стал серьезным вызовом для ИТ-рынка, и переход на альтернативные решения требует трезвой оценки рисков. В случае с oVirt речь идет не просто о технических настройках, а о стратегическом выборе: компании должны контролировать актуальность используемых версий, минимизировать избыточные права доступа, изолировать критические сервисы и учитывать, что эксплуатация неподдерживаемой платформы рано или поздно приведет к инцидентам. Эксперты сходятся во мнении, что в долгосрочной перспективе такой стек необходимо заменять более надежными и развиваемыми системами.
Платформа с истекшим сроком годности
Из-за отсутствия поддержки со стороны Red Hat oVirt сегодня становится всё менее надёжной платформой. На фоне роста киберугроз и общего интереса к вопросам ИБ, использование устаревших и незащищённых платформ становится стратегическим просчётом. Особенно в инфраструктурах, где на кону — данные, операции и репутация. В связи с этим российским компаниям нужно рассмотреть российские системы виртуализации, адаптированные к требованиям заказчиков в госсекторе и крупном бизнесе.
Эти решения должны поддерживать отечественные операционные системы, обладать русскоязычным интерфейсом и сопроводительной техподдержкой. Они должны регулярно обновляться и быть доступны российским компаниям без риска отключения при введении новых санкций.
На данный момент на рынке есть несколько решений в области виртуализации на базе oVirt, представленных российскими компаниями. Эти продукты активно внедряются как в крупном бизнесе, так и в госсекторе: используются в центрах обработки данных, инфраструктуре государственных информационных систем, у телеком-операторов и на предприятиях с высоким уровнем ИТ-нагрузки. Формально каждое из решений декларирует собственную специфику и локальные доработки, но, по сути, мы имеем дело с общим классом платформ — зрелых внешне, но уязвимых архитектурно. Именно поэтому в энтерпрайз-сегменте доверие к таким решениям должно строиться не на документации и интерфейсе, а на способности выдерживать реальные требования безопасности, изоляции и управляемости.
Короткая ссылка
