為什麼這次Xen大漏洞在國內沒有大的動靜？

2015年3月，Xen接連發布了6個安全漏洞，從XSA-119到XSA-113, 其中對於公有雲業務造成潛在風險最大的漏洞是3月10號公開的，從理論上來說，這個漏洞會造成個別精心設計的指令提權，從而導致客戶數據泄密。

AWS、linode、rackspace cloud等雲計算廠商紛紛通知客戶停機維護時間表。儘管這個漏洞很嚴重，但似乎國內沒有太大動靜。這又是為什麼呢？

利益相關： 阿里雲工程師

1、這是底層高危漏洞，但對於普通人的影響較弱。

安全問題一貫都是「大規模涉及艷照就會火，嚴肅的漏洞都很寂寞。」換句話說，不能按照群體的反應來看漏洞的嚴重性。大家也不必期待爆出艷照門事件。

從理論上來說，這個漏洞會造成個別精心設計的指令提權，但從目前分析來看，僅僅是理論上的可能，漏洞被利用的難度非常大。因此，即便某些廠商並未著手進行修復，短期來看，被攻擊的難度很大而客戶規模也決定這一漏洞的後果不會立竿見影。

2、其次，Xen給大家的建議是重啟修復。

冷啟動沒有任何技術挑戰，在滿足客戶協議（SLA）的基礎上可以選擇重啟機器，但我們要看到一旦這樣做勢必會影響到客戶的業務，有些甚至是致命的影響。部分雲計算廠商確實選擇了冷啟動方式。在微博上可以看到不少將伺服器放在受影響雲計算廠商的客戶的抱怨。

「接到機房通知，Xen架構近期爆出嚴重安全漏洞，他們要關閉伺服器進行維護，因為島風GO的伺服器比較多而分散，所以受到影響的時間會比較長，第一次嚴重衝擊會發生在北京時間3月4日03:00~10:00，期間1號線路將幾乎無法使用。之後1號線路的整個維護過程會持續到3月10日，這期間使用可能會有些影響。」

顯然冷啟動確實造成了客戶不便，提前預告重啟時間還是負責任的行為。

同時也要看到經過去年9月底的漏洞洗禮之後，AWS已經處理了部分有問題的伺服器，留到當下處理的數量沒有那麼多。官方公告表示僅有不到0.1%的客戶會受影響。具體到國內客戶，採用AWS、Linode等的國內廠商並不多，大部分是有業務在國外開展的。而隨著國內雲計算相繼在美國等地啟動數據中心，遷移完成的較多。這也進一步壓縮了Xen漏洞帶來的群體感知。

3、最後一點最關鍵——佔了市場大頭的用了Xen的國內雲計算廠商做了什麼。

阿里雲是國內雲計算的大頭，提前知道了這個漏洞，用熱修復的方式處理這次危機。

對於Hypervisor 熱修復，其區別於Linux內核熱修復技術，在Xen Hypervisor中的熱修復是非常艱難的，因為Xen底層幾乎堵死了從控制域訪問其內存的可能性，如果內存都很難訪問到，做熱修復是極其艱難的，更別提插入一個模塊進行函數替換了。阿里雲工程師還是通過自己的努力解決了這一世界性難題。這樣國內大部分雲計算客戶無感知地通過了這次重啟危機。

其他國內廠商當中，應該還有幾個較大的雲計算公司應用到了Xen。但官方尚未公布如何處理上述漏洞的方案。話說回來，與個人用戶面臨的高危漏洞不同，考慮到被攻破和被爆出問題的可能性較低，不可避免地存在部分公有雲廠商存在僥倖心理，視而不見。

略微心酸的一點是，大部分國內雲計算廠商都不在Xen官方安全漏洞預披露列表內。他們和你一樣才剛剛知道這個漏洞。

國外：

AWS表示，此一更新影響Amazon EC2不到10%的用戶，但這些用戶的實例（instance）都必須重新開機，該站已開始通知受影響的用戶必須重新開機的時程表。

Linode亦公告表示，Xen的這個安全通告將在3月10日發布，並要求該站在此之前更新主機伺服器，更新過程的重開機將會影響用戶。規畫的作業時間為2小時，但用戶實際停機時間可能遠比這時間還要短。Linode並已提供用戶更新時程表。

Rackspace則表示，最近有些Xen的重大安全漏洞影響了該站的雲端伺服器，不幸的是必須重開機才能解決這些問題，且要在相關漏洞被揭露前完成，因此將會著手安排重開機時間。

國內：

阿里雲表示，已經找到了避免伺服器重啟的熱升級方案，理論上不再需要重啟伺服器，不會影響到客戶在阿里雲上服務的正常開展。

騰訊雲等表示，嗯嗯嗯嗯嗯額，鵝鵝鵝餓餓，啦啦啦阿拉……

…………………………………………………………………………

總之，

國內廠商能解決的就阿里雲一家，所以阿里雲跳出來講幾句，但聲音不大；

其他幾家也沒有什麼創新性的解決辦法，但又不好意思說自己要重啟，就悄悄的跟客戶一個個打電話通知；

國內媒體因為真正懂技術、懂雲計算的又沒幾個，估計大多數都不知道Xen怎麼讀，就更不會去主動挖這個新聞。

另外，估計題主不是「業內人士」，所以在沒有媒體報道的情況下，就會產生：哎，這事咋就這麼過去了乃？