CentOS 7:libvirt (CESA-2014:1352)

medium Nessus Plugin ID 78043

概要

遠端 CentOS 主機缺少一個或多個安全性更新。

說明

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 libvirt 套件,可修正兩個安全性問題和一個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數,其中包含有關嚴重性評等的詳細資訊。

libvirt 程式庫是用來管理 Linux 和其他作業系統的虛擬化功能並與之互動的 C API。此外,libvirt 還提供遠端管理虛擬化系統的工具。

對持續的磁碟組態編列索引時,在 libvirt 的 qemuDomainGetBlockIoTune() 函式於非持續的 (即時) 磁碟組態中查詢磁碟索引的方法中,發現超出範圍讀取瑕疵。遠端攻擊者若能建立 libvirtd 的唯讀連線,就可利用此瑕疵造成 libvirtd 當機,或可能洩漏 libvirtd 處理程序的記憶體。
(CVE-2014-3633)

在 libvirt virConnectListAllDomains() 函式計算已使用網域數量的方式中發現拒絕服務瑕疵。遠端攻擊者若能建立 libvirtd 的唯讀連線,就可利用此瑕疵造成 libvirtd 中的任何網域作業無回應。(CVE-2014-3657)

CVE-2014-3633 問題是由 Red Hat 的 Luyao Huang 所發現。

此更新也可修正下列錯誤:

* 在此更新以前的版本中,在啟動具有 numatune/memory[nodeset] 的網域之前,libvirt 會設定該網域的 cpuset.mems 參數。因此,如果網域的節點集不包含具有 DMA 和 DMA32 區域 (位於 /proc/zoneinfo 中) 的 NUMA 節點,則可能因 KVM 初始化失敗而無法啟動。透過此更新,libvirt 在初始化後設定 cpuset.mems 參數,並且具有任何節點集 (位於 /numatune/memory 中) 的網域可在沒有錯誤的情況下啟動。(BZ#1135871)

建議所有 libvirt 使用者皆升級至這些更新版套件,其中包含可更正這些問題的反向移植修補程式。安裝更新版套件之後,libvirtd 會自動重新啟動。

解決方案

更新受影響的 libvirt 套件。

另請參閱

http://www.nessus.org/u?65735e05

Plugin 詳細資訊

嚴重性: Medium

ID: 78043

檔案名稱: centos_RHSA-2014-1352.nasl

版本: 1.7

類型: local

代理程式: unix

已發布: 2014/10/6

已更新: 2021/1/4

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Agentless Assessment, Nessus

風險資訊

VPR

風險因素: Medium

分數: 5.2

CVSS v2

風險因素: Medium

基本分數: 5.8

時間分數: 5

媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:P

CVSS 評分資料來源: CVE-2014-3633

弱點資訊

CPE: p-cpe:/a:centos:centos:libvirt, p-cpe:/a:centos:centos:libvirt-client, p-cpe:/a:centos:centos:libvirt-daemon, p-cpe:/a:centos:centos:libvirt-daemon-config-network, p-cpe:/a:centos:centos:libvirt-daemon-config-nwfilter, p-cpe:/a:centos:centos:libvirt-daemon-driver-interface, p-cpe:/a:centos:centos:libvirt-daemon-driver-lxc, p-cpe:/a:centos:centos:libvirt-daemon-driver-network, p-cpe:/a:centos:centos:libvirt-daemon-driver-nodedev, p-cpe:/a:centos:centos:libvirt-daemon-driver-nwfilter, p-cpe:/a:centos:centos:libvirt-daemon-driver-qemu, p-cpe:/a:centos:centos:libvirt-daemon-driver-secret, p-cpe:/a:centos:centos:libvirt-daemon-driver-storage, p-cpe:/a:centos:centos:libvirt-daemon-kvm, p-cpe:/a:centos:centos:libvirt-daemon-lxc, p-cpe:/a:centos:centos:libvirt-devel, p-cpe:/a:centos:centos:libvirt-docs, p-cpe:/a:centos:centos:libvirt-lock-sanlock, p-cpe:/a:centos:centos:libvirt-login-shell, p-cpe:/a:centos:centos:libvirt-python, cpe:/o:centos:centos:7

必要的 KB 項目: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2014/10/3

弱點發布日期: 2014/10/6

參考資訊

CVE: CVE-2014-3633, CVE-2014-3657

BID: 70186, 70210

RHSA: 2014:1352