OracleVM 3.2：xen (OVMSA-2017-0149)

high Nessus Plugin ID 102907

語系：

概要

遠端 OracleVM 主機缺少一個或多個安全性更新。

說明

遠端 OracleVM 系統缺少可解決重大安全性更新的必要修補程式：

- 來自 e26560a4b056dad6d85ffd9ebfad9565f210a9cc 2001 年 9 月 17 日 (星期一) 00:00:00 發件人：Jan Beulich 日期：2012 年 5 月 30 日 (星期三) 09:22:17 +0100 主題：[PATCH] gnttab：不使用域鎖定進行序列化，而是使用受影響的域的授權表鎖定，以此立即減小保留鎖定的範圍，從而顯著提高並行性。

提交者：Keir Fraser 衝突：
xen/common/grant_table.c xen/arch/x86/mm.c

- 寄件人：Jan Beulich 主題：gnttab：更正複製的引腳狀態修復。除了僅設置 GNTPIN_hst* 的賦值操作，在決定是否清除 _GTF_[read,writ]ing 時，
也需要考慮 GNTPIN_dev*。至少為了與其他地方代碼保持一致，讀取部分最好完全不使用任何掩碼。這是 XSA-230。(CVE-2017-12855)

- 來自 3aab881c7331cf93ffd8d2f2dd9adfd18ed4fc99 2001 年 9 月 17 日 (星期一) 00:00:00 發件人：Andrew Cooper 日期：2017 年 6 月 20 日 (星期二) 19:18:54 +0100 主題：[PATCH] x86/grant：禁止未對齊的 PTE 頁表條目必須對齊才能正常運行。禁止客體嘗試在未對齊的地址建立授權 PTE，這將導致 L1 表(其中大部分值由客體控制)損壞。這是 XSA-227 (CVE-2017-12137)

- 針對 xsa227-4.5.patch 的先決條件修補程式。OVM3.4 之前的版本沒有 xsa227-4.5.patch 需要的宏 ASSERT_UNREACHABLE。此區塊提取自上游提交 cacdb0faaa121ac8f792d5bd34cc6bc7c72d21da (CVE-2017-12137)

- 寄件人：Andrew Cooper 主題：grant_table：預設為 v1，禁止可傳遞授權。可傳遞授權的引用計數和鎖定規則已損壞。
因此，其使用被聲明不受安全支援。
這是 XSA-226。傳遞授權預計將在授予表 v2 中無條件提供。對客體而言，僅隱藏可傳遞授權可導致 ABI 中斷。目前版本的 Linux 和 Windows PV 驅動程序使用授權表 v1，但較早的版本使用 v2。原則上，完全停用 gnttab v2 可更安全地避免客體使用可傳遞授予。但是，某些較早版本的客體預設使用 gnttab v2，不會容忍在遷移過程中從 v2 回退到 v1。此修補程式引入了新的命令行選項來控制授權表行為。可利用一個子選項選擇 Xen 允許客體使用的最大授權表版本，預設為 v2。不同子選項可獨立控制能否使用可傳遞授權。預設情況為：
gnttab=max_ver:2。如需完全停用 gnttab v2，使用：
gnttab = max_ver:1。如需允許 gnttab v2 和可傳遞授權，使用：gnttab=max_ver:2,transitive

忽略 docs/misc/xen-command-line.markdown 的區塊，因為 OVM3.2 中沒有此類文件 (CVE-2017-12135)

- 來自 8aed1f12c4c087c5b31cbee8636b3d2d25efb363 2001 年 9 月 17 日 (星期一) 00:00:00 發件人：Andres Lagar-Cavilla 日期：2012 年 8 月 22 日 (星期三) 22:27:50 +0100 主題：[PATCH] 修復 paged-out g fn 上授權複製操作的共享條目狀態，展開路徑未清除共享條目狀態位。這是 BSOD-ing 客體在某些配置下的網絡活動。此外：*sed 修復方法名稱以表明其與授權複製有關。* 在修復期間使用原子清楚標記操作。

提交者：Keir Fraser 衝突：
xen/common/grant_table.c 針對 XSA-226 修復的先決條件修補程式 (CVE-2017-12135)

- 來自 69549b08eb9bd3a525c07a97d952673a3d02c76a 2001 年 9 月 17 日 (星期一) 00:00:00 發件人：Anne Li 日期：2017 年 7 月 7 日 (星期五) 14:36:08 -0400 主題：[PATCH] xen：提高預設的最大授權幀和最大 maptrack 幀。提交 9dfba034e，將預設的最大授權幀提高至 128，但當客體擁有更多 cpus 和 vbd/vif 設備時，此幀數仍然不夠，因此將其設置為 256。此外，也需要相應地提高預設的最大 maptrack 幀。