Bulletin d'alerte Debian

DSA-3596-1 spice -- Mise à jour de sécurité

Date du rapport :
6 juin 2016
Paquets concernés :
spice
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2016-0749, CVE-2016-2150.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans spice, une bibliothèque client et serveur pour le protocole SPICE. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants :

  • CVE-2016-0749

    Jing Zhao de Red Hat a découvert un défaut d'allocation de mémoire, menant à un dépassement de tas dans l'interaction de spice avec les cartes à puce. Un utilisateur se connectant à une machine virtuelle cliente par l'intermédiaire de spice peut tirer avantage de ce défaut pour provoquer un déni de service (plantage du processus de QEMU), ou éventuellement pour exécuter du code arbitraire sur l'hôte avec les privilèges du processus hôte de QEMU.

  • CVE-2016-2150

    Frediano Ziglio de Red Hat a découvert qu'un client malveillant dans une machine virtuelle peut prendre le contrôle du processus de QEMU correspondant dans l'hôte en utilisant des paramètres primaires de surface contrefaits.

Pour la distribution stable (Jessie), ces problèmes ont été corrigés dans la version 0.12.5-1+deb8u3.

Nous vous recommandons de mettre à jour vos paquets spice.