OracleVM 3.2：xen (OVMSA-2017-0149)

high Nessus 插件 ID 102907

语言：

简介

远程 OracleVM 主机缺少一个或多个安全更新。

描述

远程 OracleVM 系统缺少解决关键安全更新的必要补丁：

- 来自 e26560a4b056dad6d85ffd9ebfad9565f210a9cc 2001 年 9 月 17 日（星期一）00:00:00 发件人：Jan Beulich 日期：2012 年 5 月 30 日（星期三）09:22:17 +0100 主题：[PATCH] gnttab：不使用域锁定进行序列化，而是使用受影响的域的授权表锁定，以此立即减小保留锁定的范围，从而显著提高并行性。

提交者：Keir Fraser 冲突：
xen/common/grant_table.c xen/arch/x86/mm.c

- 发件人：Jan Beulich 主题：gnttab：更正复制的引脚状态修复。除了仅设置 GNTPIN_hst* 的赋值操作，在决定是否清除 _GTF_[read,writ]ing 时，
也需要考虑 GNTPIN_dev*。至少为了与其他地方代码保持一致，读取部分最好完全不使用任何掩码。这是 XSA-230。(CVE-2017-12855)

- 来自 3aab881c7331cf93ffd8d2f2dd9adfd18ed4fc99 2001 年 9 月 17 日（星期一）00:00:00 发件人：Andrew Cooper 日期：2017 年 6 月 20 日（星期二）19:18:54 +0100 主题：[PATCH] x86/grant：禁止未对齐的 PTE 页表条目必须对齐才能正常运行。禁止客户机尝试在未对齐的地址创建授权 PTE，这将导致 L1 表（其中大部分值由客户机控制）损坏。这是 XSA-227 (CVE-2017-12137)

- 针对 xsa227-4.5.patch 的先决条件补丁。OVM3.4 之前的版本没有 xsa227-4.5.patch 需要的宏 ASSERT_UNREACHABLE。此区块提取自上游提交 cacdb0faaa121ac8f792d5bd34cc6bc7c72d21da (CVE-2017-12137)

- 发件人：Andrew Cooper 主题：grant_table：默认为 v1，禁止可传递授权。可传递授权的引用计数和锁定规则已损坏。
因此，其使用被声明不受安全支持。
这是 XSA-226。传递授权预计将在授予表 v2 中无条件提供。对客户机而言，仅隐藏可传递授权可导致 ABI 中断。目前版本的 Linux 和 Windows PV 驱动程序使用授权表 v1，但较早的版本使用 v2。原则上，完全禁用 gnttab v2 可更安全地避免客户机使用可传递授予。但是，某些较早版本的客户机默认使用 gnttab v2，不会容忍在迁移过程中从 v2 回退到 v1。此补丁引入了新的命令行选项来控制授权表行为。可利用一个子选项选择 Xen 允许客户机使用的最大授权表版本，默认为 v2。不同子选项可独立控制能否使用可传递授权。默认情况为：
gnttab=max_ver:2。如需完全禁用 gnttab v2，使用：
gnttab = max_ver:1。如需允许 gnttab v2 和可传递授权，使用：gnttab=max_ver:2,transitive

忽略 docs/misc/xen-command-line.markdown 的区块，因为 OVM3.2 中没有此类文件 (CVE-2017-12135)

- 来自 8aed1f12c4c087c5b31cbee8636b3d2d25efb363 2001 年 9 月 17 日（星期一）00:00:00 发件人：Andres Lagar-Cavilla 日期：2012 年 8 月 22 日（星期三）22:27:50 +0100 主题：[PATCH] 修复 paged-out g fn 上授权复制操作的共享条目状态，展开路径未清除共享条目状态位。这是 BSOD-ing 客户机在某些配置下的网络活动。此外：*sed 修复方法名称以表明其与授权复制有关。* 在修复期间使用原子清楚标记操作。

提交者：Keir Fraser 冲突：
xen/common/grant_table.c 针对 XSA-226 修复的先决条件补丁 (CVE-2017-12135)

- 来自 69549b08eb9bd3a525c07a97d952673a3d02c76a 2001 年 9 月 17 日（星期一）00:00:00 发件人：Anne Li 日期：2017 年 7 月 7 日（星期五）14:36:08 -0400 主题：[PATCH] xen：提高默认的最大授权帧和最大 maptrack 帧。提交 9dfba034e，将默认的最大授权帧提高至 128，但当客户机拥有更多 cpus 和 vbd/vif 设备时，此帧数仍然不够，因此将其设置为 256。此外，也需要相应地提高默认的最大 maptrack 帧。