Bulletin d'alerte Debian

DLA-1128-1 qemu-kvm -- Mise à jour de sécurité pour LTS

Date du rapport :
8 octobre 2017
Paquets concernés :
qemu-kvm
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2017-14167, CVE-2017-15038.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans qemu-kvm, une solution complète de virtualisation pour des hôtes Linux sur du matériel x86 avec des invités x86 basée sur Qemu (Quick Emulator).

  • CVE-2017-14167

    Une validation incorrecte d’en-têtes multiboot pourrait aboutir à l'exécution de code arbitraire.

  • CVE-2017-15038

    Lors de l’utilisation de 9pfs, qemu-kvm est vulnérable à un problème de divulgation d'informations. Il pourrait se produire lors de l’accès à des attributs étendus d’un fichier dû à une situation de compétition. Cela pourrait être utilisé pour divulguer le contenu de la mémoire de tas de l’hôte.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 1.1.2+dfsg-6+deb7u24.

Nous vous recommandons de mettre à jour vos paquets qemu-kvm.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.