Une étude récente, citée par VMware dans la kb2080735, met en évidence un risque de sécurité lié au Transparent Page Sharing (TPS) utilisé par VMware.
En l’occurrence, il s’agit de la possibilité de récupérer, depuis une machine virtuelle A, la clé AES utilisée par SSL sur une machine virtuelle B. Bien que la situation semble difficile à reproduire en conditions réelles, le risque est bien réel, suffisamment en tous cas pour que VMware se décide à désactiver le Transparent Page Sharing par défaut sur toutes les versions d’ESX futures d’ESX, ainsi que lors des prochaines mises à jour de type update pour les versions existantes.
Par exemple, la 5.5 est actuellement en update 2, TPS sera donc désactivé par défaut en U3. Plus précisément, le TPS inter-vm sera désactivé par défaut (TPS pourra toujours dédupliquer les pages mémoires d’une même machine, mais avec bien sûr un bénéfice moindre).
Dans l’attente de ces nouvelles versions, des patchs permettent déjà à ceux qui le souhaitent de désactiver le TPS en 5.5 et en 5.1. Le patch pour la 5.0 est à venir.