現已提供適用於 Red Hat Enterprise Linux 6 的更新版 libvirt 套件，可修正兩個安全性問題和數個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

libvirt 程式庫是用來管理 Linux 和其他作業系統的虛擬化功能並與之互動的 C API。此外，libvirt 還提供遠端管理虛擬化系統的工具。

Libvirt 會叫用 PolicyKit pkcheck 公用程式處理授權。
在 libvirt 使用此公用程式的方式中發現一個爭用情形，可能會讓本機使用者繞過預定的 PolicyKit 授權，或是以 root 權限執行任意命令。(CVE-2013-4311)

注意：透過此更新，libvirt 將會重建為透過不容易受爭用情形影響的其他 API，與 PolicyKit 進行通訊。必須一併安裝 polkit RHSA-2013:1270 公告，才能修正 CVE-2013-4311 問題。

在 libvirtd 的 remoteDispatchDomainMemoryStats 函式中發現一個無效的釋放瑕疵。攻擊者若能建立 libvirtd 的唯讀連線，就可利用此瑕疵造成 libvirtd 損毀。(CVE-2013-4296)

CVE-2013-4296 問題是由 Red Hat 的 Daniel P. Berrange 所發現。

此更新也可修正下列錯誤：

* 在此更新之前，libvirtd 程序會在 virCgroupMoveTask() 函式中洩漏記憶體。現已提供一個修正，可防止 libvirtd 不正確管理記憶體配置。(BZ#984556)

* 之前，libvirtd 程序會在 virCgroupGetValueStr() 函式中，存取陣列前的一個位元組。此錯誤已修正，libvirtd 現可限制在陣列的邊界範圍內。(BZ#984561)

* libvirtd 會在移轉時洩漏目的地的移轉 URI (統一資源識別碼)。現已提供修補程式，可修正此錯誤且移轉 URI 也可正確釋出。(BZ#984578)

* 若已針對使用 virDomainUpdateDeviceFlags API 的網路介面設定開機順序，該介面的更新作業會失敗。即使已在所提供之裝置 XML 中設定開機順序，更新仍會失敗。virDomainUpdateDeviceFlags API 已修正，現可正確剖析所提供之裝置 XML 的開機順序規格，且設有開機順序的網路介面也可按照預期完成更新。
(BZ#1003934)

建議 libvirt 使用者升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。安裝更新版套件之後，libvirtd 會自動重新啟動。

偵測

CentOS 6：libvirt (CESA-2013:1272)

medium Nessus Plugin ID 69999

找不到變更記錄