Debian DSA-4213-1:qemu - 安全性更新 (Spectre)

critical Nessus Plugin ID 110208
新推出!Plugin 嚴重性目前使用 CVSS v3

計算 Plugin 嚴重性已更新為預設使用 CVSS v3 沒有 CVSS v3 評分的 Plugin 會回歸到以 CVSS v2 計算嚴重性。您可在設定下拉式選單中切換顯示嚴重性的喜好設定

Synopsis

遠端 Debian 主機缺少安全性更新。

描述

在快速處理器模擬器 qemu 中發現數個弱點。- CVE-2017-15038 Tuomas Tynkkynen 發現 9pfs 中一個資訊洩漏問題。- CVE-2017-15119 Eric Blake 發現 NBD 伺服器未充分限制大型選項要求,導致拒絕服務。- CVE-2017-15124 Daniel Berrange 發現整合的 VNC 伺服器未充分限制記憶體配置,可能導致拒絕服務。- CVE-2017-15268 websockets 支援中的記憶體洩漏可能導致拒絕服務。- CVE-2017-15289 Guoxiang Niu 發現 OOB 寫入模擬 Cirrus 圖形介面卡可能導致拒絕服務。- CVE-2017-16845 Cyrille Chatras 發現 PS/2 滑鼠和鍵盤模擬中發生資訊洩漏,可能在執行個體移轉期間遭到惡意利用。- CVE-2017-17381 Dengzhan Heyuandong Bijunhua 和 Liweichao 發現 virtio vring 實作中的實作錯誤可能導致拒絕服務。- CVE-2017-18043 Eric Blake 發現內部使用的巨集中發生一個整數溢位,可能導致拒絕服務。- CVE-2018-5683 Jiang Xin 和 Lin ZheCheng 發現模擬 VGA 介面卡中發生一個 OOB 記憶體存取,可能導致拒絕服務。- CVE-2018-7550 Cyrille Chatras 發現使用多重開機時發生一個 OOB 記憶體寫入,可能導致任意程式碼執行。此更新也會針對影響新式 CPU 的 Spectre v2 弱點反向移植多個緩解措施 (CVE-2017-5715)。如需其他資訊,請參閱 https://www.qemu.org/2018/01/04/spectre/

解決方案

升級 qemu 套件。針對穩定的發行版本 (stretch),這些問題已在 1:2.8+dfsg-6+deb9u4 版本中修正。

另請參閱

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=877890

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=880832

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=880836

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=882136

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=883399

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=883625

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=884806

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=886532

https://security-tracker.debian.org/tracker/CVE-2017-15038

https://security-tracker.debian.org/tracker/CVE-2017-15119

https://security-tracker.debian.org/tracker/CVE-2017-15124

https://security-tracker.debian.org/tracker/CVE-2017-15268

https://security-tracker.debian.org/tracker/CVE-2017-15289

https://security-tracker.debian.org/tracker/CVE-2017-16845

https://security-tracker.debian.org/tracker/CVE-2017-17381

https://security-tracker.debian.org/tracker/CVE-2017-18043

https://security-tracker.debian.org/tracker/CVE-2018-5683

https://security-tracker.debian.org/tracker/CVE-2018-7550

https://security-tracker.debian.org/tracker/CVE-2017-5715

https://www.qemu.org/2018/01/04/spectre/

https://security-tracker.debian.org/tracker/source-package/qemu

https://packages.debian.org/source/stretch/qemu

https://www.debian.org/security/2018/dsa-4213

Plugin 詳細資訊

嚴重性: Critical

ID: 110208

檔案名稱: debian_DSA-4213.nasl

版本: 1.10

類型: local

代理程式: unix

已發布: 2018/5/30

已更新: 2020/9/11

相依性: ssh_get_info.nasl

風險資訊

VPR

風險因素: High

分數: 8.1

CVSS v2

風險因素: High

基本分數: 7.8

時間分數: 6.8

媒介: AV:N/AC:L/Au:N/C:N/I:N/A:C

時間媒介: E:H/RL:OF/RC:C

CVSS v3

風險因素: Critical

基本分數: 10

時間分數: 9.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:H

時間媒介: E:H/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:debian:debian_linux:qemu, cpe:/o:debian:debian_linux:9.0

必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2018/5/29

弱點發布日期: 2017/10/10

參考資訊

CVE: CVE-2017-15038, CVE-2017-15119, CVE-2017-15124, CVE-2017-15268, CVE-2017-15289, CVE-2017-16845, CVE-2017-17381, CVE-2017-18043, CVE-2017-5715, CVE-2018-5683, CVE-2018-7550

DSA: 4213