OracleVM 3.4：xen (OVMSA-2018-0246) (Foreshadow)
medium Nessus 插件 ID 111772
语言：
简介
远程 OracleVM 主机缺少一个或多个安全更新。描述
远程 OracleVM 系统缺少解决关键安全更新的必要补丁：- BUILDINFO：OVMF commit=173bf5c847e3ca8b42c11796ce048d8e2e916ff8
- BUILDINFO：xen commit=02cec92b3eb1612e37616b10400d82f1e3d8de85
- BUILDINFO：QEMU 上游 commit=8bff6989bd0bafcc0ddf859c23ce6a2ff21a80ff
- BUILDINFO：传统 QEMU commit=346fdd7edd73f8287d0d0a2bab9c67b71bc6b8ba
- BUILDINFO：IPXE commit=9a93db3f0947484e30e753bbd61a10b17336e20e
- BUILDINFO：SeaBIOS commit=7d9cbe613694924921ed1a6f8947d711c5832eee
- l1tf：离线/在线同级的实用工具。(Ross Philipson) [Orabug：28487050] (CVE-2018-3646)
- x86/spec-ctrl：引入选项以控制 HVM 客户机的 L1D_FLUSH (Andrew Cooper) [Orabug：28487050] (CVE-2018-3620) (CVE-2018-3646)
- x86/msr：虚拟化 MSR_FLUSH_CMD 以供客户机使用 (Andrew Cooper) [Orabug：28487050] (CVE-2018-3646) (CVE-2018-3646)
- x86/spec-ctrl：L1D_FLUSH 的 CPUID/MSR 定义 (Andrew Cooper) [Orabug：28487050] (CVE-2018-3646) (CVE-2018-3646)
- x86/spec-ctrl：计算 L1TF 缓解措施的安全 PTE 地址 (Andrew Cooper) [Orabug：28487050] (CVE-2018-3620) (CVE-2018-3646)
- x86：用于避免使用辅助超线程的命令行选项 (Jan Beulich) [Orabug：28487050] (CVE-2018-3646)
- cpupools：修正未能使 CPU 宕机时的状态 (Jan Beulich) [Orabug：28487050] (CVE-2018-3646)
解决方案
更新受影响的 xen/xen-tools 程序包。另见
插件详情
严重性: Medium
ID: 111772
文件名: oraclevm_OVMSA-2018-0246.nasl
版本: 1.5
类型: local
发布时间: 2018/8/16
最近更新时间: 2019/9/27
支持的传感器: Nessus
风险信息
VPR
风险因素: Medium
分数: 5.2
CVSS v2
风险因素: Medium
基本分数: 4.7
矢量: CVSS2#AV:L/AC:M/Au:N/C:C/I:N/A:N
CVSS v3
风险因素: Medium
基本分数: 5.6
矢量: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N
漏洞信息
CPE: p-cpe:/a:oracle:vm:xen, p-cpe:/a:oracle:vm:xen-tools, cpe:/o:oracle:vm_server:3.4
必需的 KB 项: Host/local_checks_enabled, Host/OracleVM/release, Host/OracleVM/rpm-list
补丁发布日期: 2018/8/15
漏洞发布日期: 2018/8/14
参考资料信息
CVE: CVE-2018-3620, CVE-2018-3646