Sikkerhedsoplysninger / 2009 / Sikkerhedsoplysninger -- DSA-1962-1 kvm

Debians sikkerhedsbulletin

DSA-1962-1 kvm -- flere sårbarheder

Rapporteret den:

23. dec 2009

Berørte pakker:

kvm

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 557739, Fejl 562075, Fejl 562076.
I Mitres CVE-ordbog: CVE-2009-3638, CVE-2009-3722, CVE-2009-4031.

Yderligere oplysninger:

Flere sårbarheder er opdaget i kvm, et komplet virtualiseringssystem. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

• CVE-2009-3638

  Man opdagede et heltalsoverløb i funktionen kvm_dev_ioctl_get_supported_cpuid. Dette gjorde det muligt for lokale brugere, at have uangivne følger gennem en KVM_GET_SUPPORTED_CPUID-forespørgsel til funktionen kvm_arch_dev_ioctl.

• CVE-2009-3722

  Man opdagede at funktionen handle_dr KVM-undersystemet ikke på korrekt vis kontrollerede Current Privilege Level (CPL) før et debugregister blev tilgået, hvilket gjorde det muligt for brugere af gæstestyresystemet at forårsage et lammelsesangreb (denial of service-trap) i værtsstyresystemet gennem en fabrikeret applikation.

• CVE-2009-4031

  Man opdagede at funktionen do_insn_fetch x86-emulatoren i KVM-undersystemet forsøgte at fortolke instruktioner, der indeholdt for mange bytes, til at kunne være gyldig, hvilket gjorde det muligt for brugere af gæstestyresystemet at forårsage et lammelsesangreb (forøget scheduleringslatency) på værtsstyresystemet gennem uangivne manipuleringer relateret til SMP-understøttelse.

I den stabile distribution (lenny), er disse problemer rettet i version 72+dfsg-5~lenny4.

I distributionen testing (squeeze) og i den ustabile distribution (sid), vil disse problemer snart blive rettet.

Vi anbefaler at du opgraderer din kvm-pakke.

Rettet i:

Debian GNU/Linux 5.0 (lenny)

Kildekode:

http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg.orig.tar.gz

http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny4.diff.gz

http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny4.dsc

Arkitekturuafhængig komponent:

http://security.debian.org/pool/updates/main/k/kvm/kvm-source_72+dfsg-5~lenny4_all.deb

AMD64:

http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny4_amd64.deb

Intel IA-32:

http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny4_i386.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.