Debian Biztonsági Figyelmeztetésben

DLA-2524-1 spice-vdagent -- LTS biztonsági frissítés

Bejelentés dátuma:
2021. jan. 13.
Érintett csomagok:
spice-vdagent
Sebezhető:
Igen
Biztonsági adatbázis hivatkozások:
A Debian hibakövető rendszerben: Hiba 883238, Hiba 973769.
A Mitre CVE szótárában: CVE-2017-15108, CVE-2020-25650, CVE-2020-25651, CVE-2020-25652, CVE-2020-25653.
Bővebb információ:

Néhány sebezhetőéget fedeztek fel a spice-vdagent-ben, ami egy spice guest agent, a SPICE integrációjának javítása és az élmény fokozása miatt.

  • CVE-2017-15108

    A spice-vdagent nem megfelelően semlegesíti a mentési könyvtárat, mielőtt átadja a shell-nek, amivel lehetővé teszi, hogy a helyi támadó hozzáférjen az agent által futtatott munkamenethez, amiben bármilyen tetszőleges kódot le tud futtatni.

  • CVE-2020-25650

    Hibát találtak abban, ahogy a spice-vdagentd a fájl átviteleket kezelte a host rendszer és a virtuális gép között. Bármely privilegizálatlan helyi vendég felhasználó, akinek hozzáférése volt a `/run/spice-vdagentd/spice-vdagent-sock` elérési úthoz, képes volt a spice-vdagentd-ben memória szolgáltatás megtagadást okozni, vagy akár a virtuális gép más folyamataiban. Ez a rés legjobban a rendszer elérhetőségét fenyegeti. Ez a hiba a 0.20 és az előtti verziókat érinti.

  • CVE-2020-25651

    Hibát találtak a SPICE fájlátviteli protokollban. A gazda rendszerből származó adatok teljes egészében vagy részekben kerülhetnek egy jogosulatlan felhasználó kliens kapcsolatában a VM rendszerben. Más felhasználóktól származó aktív fájlátvitel megszakadhat, ami szolgáltatás megtagadást eredményezhet. A sérülékenység legjobban az adatok biztonságát és a rendszer elérhetősége veszélyezteti.

  • CVE-2020-25652

    Hibát találtak a spice-vdagentd démonban, ahol az nem megfelelően kezelte a `/run/spice-vdagentd/spice-vdagent-sock` UNIX domain socketen keresztüli kliens kapcsolatokat. Bármely jogosulatlan helyi felhasználó megakadályozhatja, hogy jogosult agent-ek csatlakozzanak a spice-vdagentd démonhoz, ezzel szolgáltatás megtagadást okozva. A hiba legjobban a rendszer elérhetőségét veszélyezteti.

  • CVE-2020-25653

    Versenyfeltétel sérülékenységet találtak abban, ahogy a spice-vdagentd az új kliens kapcsolatokat kezelte. Ez a hiba lehetővé teszi, hogy jogosulatlan helyi vendég felhasználó a spice-vdagentd agent-évé váljon, ami szolgáltatás megtagadást vagy a szerverről információszivárgást okozhat. A sebezhetőség legjobban az adatok titkosságát, valamint a rendszer elérhetőségét veszélyezteti.

A Debian 9 stretch esetén a probléma a 0.17.0-1+deb9u1 verzióban javításra került.

Azt tanácsoljuk, hogy frissítsd az spice-vdagent csomagjaidat.

Az spice-vdagent csomag biztonság állapotával kapcsolatban lásd a bizonsági nyomkövető oldalát: https://security-tracker.debian.org/tracker/spice-vdagent

További információk a Debian LTS biztonági figyelmeztetéseiről, hogyan tudod ezeket a frissítéseket a rendszereden telepíteni és más gyakran feltett kérdések megtalálhatóak itt: https://wiki.debian.org/LTS