Bulletin d'alerte Debian

DLA-764-1 qemu -- Mise à jour de sécurité pour LTS

Date du rapport :
26 décembre 2016
Paquets concernés :
qemu
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2016-9911, CVE-2016-9921, CVE-2016-9922.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans QEMU :

  • CVE-2016-9911

    Quick Emulator (Qemu) construit avec la prise en charge de l'émulation de l'interface EHCI USB est vulnérable à un problème de fuite de mémoire. Il pourrait survenir lors du traitement de données de paquet dans ehci_init_transfer. Un utilisateur ou un processus client pourrait utiliser ce problème pour divulguer la mémoire de l'hôte, avec pour conséquence un déni de service pour l'hôte.

  • CVE-2016-9921 / CVE-2016-9922

    Quick emulator (Qemu) construit avec la prise en charge de l'émulateur VGA Cirrus CLGD 54xx est vulnérable à un problème de division par zéro. Il pourrait survenir lors de la copie de données VGA quand le mode graphique de Cirrus est réglé à VGA. Un utilisateur privilégié dans un client pourrait utiliser ce défaut pour planter l'instance du processus Qemu sur l'hôte, avec pour conséquence un déni de service.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 1.1.2+dfsg-6+deb7u19.

Nous vous recommandons de mettre à jour vos paquets qemu.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.