Xen高危漏洞袭来 云计算忙重启阿里云热升级

近日，Xen发出高危漏洞警告，称由于Xen存在部分漏洞，建议所有相关的服务器进行重启来修复这些漏洞，而细节将在近期公布。因此，采用Xen组件的云计算厂商忙着在此之前修复该漏洞，多数采用了服务器重启方式解决，其中亚马逊将有部分服务器需要重启，而国内云计算厂商阿里云则采用了全部热升级的方式完成。

Xen在云计算行业为人熟知，由剑桥大学开发。使用者包括亚马逊EC2、阿里云ECS、IBM SoftLayer、Linode及Rackspace Cloud等主流厂商。

根据Xen所公布的安全通告(Xen Security Advisory)，准备在近期公布5个安全漏洞，其中3月10日公布的漏洞较为高危。因此得到通知的云计算厂商集中在10日之前通知客户处理方案。

目前来看，多数云计算厂商采用了服务器重启的解决方式。但这样将中断云计算服务，使得客户业务无法开展。因此，各家厂商早早提醒用户关注重启时间表，则也意外成为云计算技术的竞技台。

据了解，早先亚马逊公告通知客户，表示有大约10%的服务器受影响需要重启，随后该公司技术团队找到热升级的方式，但仍有0.1%的服务器需要重启。考虑到亚马逊云计算规模，这一漏洞显然影响面颇大。

而Linode则干脆采用了重启大法，同时表示这是因为漏洞高危，“在重启期间一般来说2小时的停机是正常的，但通常实际关机时间会更少。”

另一家云计算厂商Rackspace也为服务器集群安排了重启时间表。

刚刚进入美国的阿里云则于3月9日发布公告，表示已经找到了避免服务器重启的热升级方案，理论上不再需要重启服务器，不会影响到客户在阿里云上服务的正常开展。

此外，阿里云也给出了风险赔偿预案，如果用户受影响则赔偿百倍服务时长。“我们做了很多种预案，但任何一种修复与升级都存在一定风险，如果在此期间服务出现异常我们的技术支持人员会及时与您联系。与此同时，我们仍旧承诺如果出现故障，您可以得到百倍时长的赔偿。”

-------------------------------------------------------

公告原文如下：

Xen安全维护公告

近期，Xen安全团队对全球所有使用Xen的云计算厂商发布安全通知，Xen Hypervisor 存在高危漏洞，建议尽快修复这些漏洞。而漏洞详情将在近期对外公开。

得到消息之后，阿里云技术团队就此进行了紧急技术攻坚。现在我们找到了一种通过在线升级来修复这个漏洞的方案，理论上不再需要像其他云计算厂商一样重启服务器，不会影响到您在阿里云上服务的正常开展。

在经过充分的环境验证之后，这个方案将在3月9日开始正式实施。

我们做了很多种预案，但任何一种修复与升级都存在一定风险，如果在此期间服务出现异常我们的技术支持人员会及时与您联系。与此同时，我们仍旧承诺如果出现故障，您可以得到百倍时长的赔偿。

阿里云计算

2015年3月9日