【分享】十级安全漏洞来袭，ESXi 用户不受影响哦！

​文章源于：VMware中国​

​“心脏出血”的漏洞是5级，9月27日爆出的Bash 的 CVE-2014-6271 “shellshock”的级别是10级，想想就能理解本次漏洞的危害程度。那么这个“危害级别”为10的漏洞到底有多严重？引用微博上 @tombkeeper 的话说：​

​“因为整个 *nix 世界几乎就是建立 Shell 脚本上的，所以 Bash 的 CVE-2014-6271 这个漏洞攻击点可能还有很多。试了一下 DHCP，成功了，而且直接就是 root 权限，这个感觉太可怕了。估计只要 Linux 都可被攻击，不知道 Mac OS 如何。另外请想象一下：如果 Android 和 iOS 都受影响，世界将会怎样……”​

​“刚才那条对不是干我们这行的人可能有些难懂。简单来说就是：Bash 的 CVE-2014-6271 “shellshock”漏洞，可以非常轻松地入侵同一网段的 Linux。你的笔记本如果装了 Linux，只要接入一个恶意的 WiFi，就可以瞬间被入侵。所以，那些国产操作系统没什么不好，但“自主可控”吗？”​

​“如前所述，Bash 的 CVE-2014-6271 “shellshock”漏洞新的攻击点还在不断被大家挖掘中。这两张图演示的是攻击 qmail。比较简单地描述就是：只要发一封邮件，就能把邮件服务器拿下。”​

​微博网友 @RAyH4c 也表示：“破壳漏洞和心血漏洞比谁的危害更大，我觉得是破壳漏洞，因为这个漏洞包含了远程代码执行和本地提权，可以直接拿到权限。目前这个漏洞还是在慢慢发酵，影响的第三方开源项目和各种以web cgi做管理界面的硬件设备太多，bash变量的感染注入相信会爆出更多的奇技淫巧…”​

​各位亲爱的网友，如果你有幸（或者不幸）是一位系统管理员，看到这么吓人的漏洞，是不是要第一时间给系统打补丁啊？稍安勿燥。如果你只是 vSphere 管理员，你就啥都不用做，开开心心准备过节吧。为啥？因为 VMware 已经确认，VMware 的核心产品都未受到 shellshock 病毒的影响。具体地说：​

​ ​
• ​ESXi 确定不受影响​
​ ​
​ ​
• ​vCenter 的 Windows 版本确定不受影响​
​ ​
​ ​
• ​vCenter Linux Appliance，虽然官方尚未确认，但是有多位网友已经宣称测试结果是“不受影响”​
​ ​
​ ​
• ​Horizon View 不受影响​
​ ​
​ ​
• ​Horizon DaaS 不受影响​
​ ​
​ ​
• ​Mirage 不受影响​
​ ​
​ ​
• ​VCAC 不受影响​
​ ​
​ ​
• ​所有安装在 Windows 上的产品都不受影响​
​ ​
​ ​
• ​其它未提到的产品，如果是安装在 Linux 或者 Mac OS 上的，VMware 建议用户联系对应的操作系统厂商来了解是否需要补丁。跟 VMware 的产品没有关系。​
​ ​

​上面提到的产品中，最重要的就是作为 hypervisor 的 ESXi 是安全的。不然，如果 hypervisor 被攻击，运行在 hypervisor 之上的任何操作系统或者业务应用都会受到严重的威胁。ESXi 的高安全性，源自于(1)极精简的代码库和(2)“不依赖于通用操作系统功能”的设计。软件工程有个定理：代码量越大，bug 就越多，越容易有安全漏洞。所以第(1)点保证了 ESXi 暴露给黑客的攻击目标非常小。而第(2)点保证了无论是 Windows 操作系统的安全漏洞还是 Linux 的安全漏洞，都很难影响到 ESXi。​

​使用了基于 Linux 的虚拟化平台的同学们，还是赶紧看看厂商有没有出补丁吧。至少红帽的补丁已经出来了。​