LTS — Prise en charge à long terme de Debian / LTS — Informations de sécurité / 2016 / Informations sur la sécurité -- DLA-765-1 qemu-kvm

Bulletin d'alerte Debian

DLA-765-1 qemu-kvm -- Mise à jour de sécurité pour LTS

Date du rapport :

26 décembre 2016

Paquets concernés :

qemu-kvm

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2016-9911, CVE-2016-9921, CVE-2016-9922.

Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans qemu-kvm :

• CVE-2016-9911

  qemu-kvm construit avec la prise en charge de l'émulation de l'interface EHCI USB est vulnérable à un problème de fuite de mémoire. Il pourrait survenir lors du traitement de données de paquet dans ehci_init_transfer. Un utilisateur ou un processus client pourrait utiliser ce problème pour divulguer la mémoire de l'hôte, avec pour conséquence un déni de service pour l'hôte.

• CVE-2016-9921 / CVE-2016-9922

  qemu-kvm construit avec la prise en charge de l'émulateur VGA Cirrus CLGD 54xx est vulnérable à un problème de division par zéro. Il pourrait survenir lors de la copie de données VGA quand le mode graphique de Cirrus est réglé à VGA. Un utilisateur privilégié dans un client pourrait utiliser ce défaut pour planter l'instance du processus Qemu sur l'hôte, avec pour conséquence un déni de service.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 1.1.2+dfsg-6+deb7u19.

Nous vous recommandons de mettre à jour vos paquets qemu-kvm.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.