Debian DSA-2666-1:xen - 多个漏洞

medium Nessus 插件 ID 66383

简介

远程 Debian 主机缺少与安全相关的更新。

描述

已在 Xen 管理程序中发现多种漏洞。
通用漏洞和暴露计划识别以下问题:

- CVE-2013-1918 ( XSA 45) 不可抢占多个长延迟操作。

PV 客户机的一些页表操纵操作处于不可抢占状态,从而允许恶意或有缺陷的 PV 客户机内核发起影响整个系统的拒绝服务攻击。

- CVE-2013-1952 ( XSA 49) 桥的 VT-d 中断重新映射源验证缺陷。

由于缺少对桥接设备设置的 MSI 中断的中断重映射表条目的源验证,具有对此类设备的访问权限的恶意域可发起影响整个系统的拒绝服务攻击。

- CVE-2013-1964 ( XSA 50) 授予表超级调用获取/释放不平衡。

在执行授予复制操作后释放特定的不可传递的授予时,Xen 未正确释放不相关的授予引用,从而可能导致主机系统崩溃。
此外,无法排除信息泄漏或权限升级。

解决方案

升级 xen 程序包。

对于旧稳定发行版本 (squeeze),已在版本 4.0.1-5.11 中修复这些问题。

对于稳定发行版本 (wheezy),已在版本 4.1.4-3+deb7u1 中修复这些问题。

请注意,对于稳定 (wheezy)、测试和不稳定发行版本,已在版本 4.1.4-3 中修复 CVE-2013-1964 ( XSA 50)。

另见

https://security-tracker.debian.org/tracker/CVE-2013-1918

https://lists.xen.org/archives/html/xen-announce/2013-05/msg00000.html

https://security-tracker.debian.org/tracker/CVE-2013-1952

https://lists.xen.org/archives/html/xen-announce/2013-05/msg00001.html

https://security-tracker.debian.org/tracker/CVE-2013-1964

https://lists.xen.org/archives/html/xen-announce/2013-04/msg00006.html

https://security-tracker.debian.org/tracker/CVE-2013-1964

https://lists.xen.org/archives/html/xen-announce/2013-04/msg00006.html

https://packages.debian.org/source/squeeze/xen

https://packages.debian.org/source/wheezy/xen

https://www.debian.org/security/2013/dsa-2666

插件详情

严重性: Medium

ID: 66383

文件名: debian_DSA-2666.nasl

版本: 1.20

类型: local

代理: unix

发布时间: 2013/5/13

最近更新时间: 2021/1/11

支持的传感器: Frictionless Assessment Agent, Nessus Agent

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.9

时间分数: 5.1

矢量: AV:L/AC:M/Au:N/C:C/I:C/A:C

时间矢量: E:U/RL:OF/RC:C

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:xen, cpe:/o:debian:debian_linux:6.0, cpe:/o:debian:debian_linux:7.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

易利用性: No known exploits are available

补丁发布日期: 2013/5/12

参考资料信息

CVE: CVE-2013-1918, CVE-2013-1952, CVE-2013-1964

BID: 59293, 59615, 59617

DSA: 2666