Debian DSA-2666-1 : xen - 多個弱點

medium Nessus Plugin ID 66383

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在 Xen Hypervisor 中發現多個弱點。
Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2013-1918 (XSA 45) 數個長延遲作業均為非搶佔式。

PV 來賓的某些頁面表格操控作業並非搶佔式，進而允許惡意或錯誤的 PV 來賓核心掛載影響整個系統的拒絕服務攻擊。

- CVE-2013-1952 ( XSA 49) VT-d 中斷重新對應橋接器的來源驗證瑕疵

由於橋接器裝置所設 MSI 中斷上的中斷重新對應表格缺少來源驗證，因此具有此類裝置存取權的惡意網域可掛載影響整個系統的拒絕服務攻擊。

- CVE-2013-1964 ( XSA 50) 授權表格 hypercall 取得/釋出不平衡。

在進行授權複製作業後釋出特定的非轉移授權時，Xen 並未正確釋出不相關的授權參照，進而可能導致主機系統當機。
無法排除後續的資訊洩漏或權限提升。

解決方案

升級 xen 套件。

針對舊的穩定發行版本 (squeeze)，這些問題已在 4.0.1-5.11 版本中修正。

針對穩定的發行版本 (wheezy)，這些問題已在 4.1.4-3+deb7u1 版本中修正。

請注意，針對穩定 (wheezy)、測試和不穩定的發行版本，CVE-2013-1964 (XSA 50) 已在 4.1.4-3 版中修正。