RHEL 6 : rhev-hypervisor (RHSA-2015:1713)

high Nessus Plugin ID 85999

語系：

概要

遠端 Red Hat 主機缺少一個或多個安全性更新。

說明

現已提供更新版 rhev-hypervisor 套件，可修正多個安全性問題、數個錯誤，並新增多種增強功能。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

rhev-hypervisor 套件會提供 Red Hat Enterprise Virtualization Hypervisor ISO 磁碟映像。Red Hat Enterprise Virtualization Hypervisor 是一種專用的核心虛擬機器 (KVM) Hypervisor。其內含執行和管理虛擬機器時需要用到的所有項目： Red Hat Enterprise Linux 作業環境的子集，以及 Red Hat Enterprise Virtualization 代理程式。

注意：Red Hat Enterprise Virtualization Hypervisor 僅適用於具有虛擬化延伸模組的 Intel 64 和 AMD64 架構。

在 JasPer 解碼 JPEG 2000 影像檔的方式中，發現一個堆積型緩衝區溢位瑕疵。特製檔案可造成使用 JasPer 的應用程式損毀，或可能執行任意程式碼。(CVE-2014-8138)

主機上於 QEMU-KVM 內容中執行的 spice 中， worker_update_monitors_config() 函式中存有一個爭用情形瑕疵，會導致堆積型記憶體損毀。來賓中的使用者可利用此瑕疵造成主機 QEMU-KVM 處理程序損毀，或可能以主機 QEMU-KVM 處理程序的權限執行任意程式碼。(CVE-2015-3247)

在 JasPer 剖析 JPEG 2000 影像檔內 ICC 色彩設定檔的方式中發現一個重複釋放瑕疵。特製檔案可造成使用 JasPer 的應用程式損毀，或可能執行任意程式碼。(CVE-2014-8137)

據發現，如果已在 VM 格線檢視中選取 VM，Red Hat Enterprise Virtualization Manager Web Admin 介面中的閒置逾時無法登出工作階段。若不注意此問題，這可允許本機攻擊者存取 Web 介面。
(CVE-2015-1841)

Red Hat 要感謝 oCERT 報告 CVE-2014-8137 與 CVE-2014-8138。oCERT 確認 Google 安全性團隊的 Jose Duart 為原始報告者。CVE-2015-3247 問題是由 Red Hat 的 Frediano Ziglio 所發現。CVE-2015-1841 問題是由 Red Hat 的 Einav Cohen 所發現。

此更新也可修正下列錯誤：

* 之前，在 Red Hat Enterprise Linux 6 主機上安裝 Red Hat Enterprise Virtualization Hypervisor 7 RPM 失敗，因為沒有這種東西可用。現在，rhel-6-server-rhevh-rpms 通道中已有 Red Hat Enterprise Virtualization Hypervisor 7 RPM，並可安裝到 Red Hat Enterprise Linux 6 主機之上。(BZ#1193678)

此外，此更新還新增了下列增強功能：

* 在此版本中，Red Hat Enterprise Virtualizaton Hypervisor 現在包含 Dell Shared PERC8 RAID 控制器的驅動程式。
(BZ#1186582)

建議 Red Hat Enterprise Virtualization Hypervisor 的使用者升級至此更新套件。