RHEL 6：virtio-win (RHSA-2015:1043)

high Nessus Plugin ID 83986

語系：

概要

遠端 Red Hat 主機缺少安全性更新。

說明

現已提供適用於 Red Hat Enterprise Linux 6 Supplementary 的更新版 virtio-win 套件，可修正一個安全性問題和兩個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

virtio-win 套件提供適用於大部分 Microsoft Windows 作業系統的並行虛擬化網路驅動程式。並行虛擬化驅動程式是指採用虛擬化的驅動程式，可提供給在 Red Hat Enterprise Linux 中執行的完全虛擬化來賓使用。使用並行虛擬化驅動程式的完全虛擬化來賓，會比以沒有驅動程式的方式執行的完全虛擬化來賓明顯獲得更好的 I/O 效能。

據發現，Windows Virtio NIC 驅動程式未充分清理傳入 IP 封包的長度，例如一個具有 IP 選項的封包，但整體封包長度未經調整以反映那些選項的長度。遠端攻擊者若能傳送特製的 IP 封包給來賓，則可利用此瑕疵造成該來賓當機。(CVE-2015-3215)

Red Hat 要感謝 Google Project Zero 報告此問題。

此更新也可修正下列錯誤：

* 當使用 virtio 驅動程式和具有單一 virtio-scsi-pci 控制器下超過 4 個 SCSI 磁碟的直接邏輯單元編號 (LUN) 存取權來建立 Windows 來賓時，該來賓會因為停止錯誤而意外終止，又稱為藍色當機畫面。此更新會依據單一 virtio-scsi-pci 控制器已增加至 254 而增加 LUN 的數量上限，可防止上述的當機發生。(BZ#1210196)

* virtio-win 版本的 license.txt 檔案已經更新，版權資訊區段現包含正確的年數。
(BZ#1210195)

建議所有 virtio-win 使用者皆升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。