Debian セキュリティ勧告

DSA-1962-1 kvm -- 複数の脆弱性

報告日時:

2009-12-23

影響を受けるパッケージ:

kvm

危険性:

あり

参考セキュリティデータベース:

詳細:

全仮想化システム kvm に、複数の問題が発見されました。The Common Vulnerabilities and Exposures project は以下の問題を認識しています。

CVE-2009-3638
kvm_dev_ioctl_get_supported_cpuid 関数に整数オーバフローが発見されました。この欠陥を攻撃することにより、ローカルユーザが kvm_arch_dev_ioctl 関数に対する KVM_GET_SUPPORTED_CPUID リクエストを用いて影響範囲不明の攻撃の実行が可能です。
CVE-2009-3722
KVM サブシステムの handle_dr 関数が、現在の特権レベル (CPL) をデバッグレジスタアクセス前に適切にチェックしていないため、ゲスト OS のユーザからの細工したアプリケーションを用いたホスト OS に対するサービス拒否攻撃が可能です。
CVE-2009-4031
KVM の x86 エミュレータ内の do_insn_fetch 関数が、有効なもの以上のバイト数を含む命令を解釈実行しようとするため、ゲスト OS のユーザからの SMP サポートに関連した未知の攻撃手法によるホスト OS に対するサービス拒否攻撃 (スケジュール遅延の増加) の可能性があります。

安定版 (stable) ディストリビューション (lenny) では、これらの問題はバージョン 72+dfsg-5~lenny4 で修正されています。

テスト版 (squeeze) および不安定版 (unstable) ディストリビューションでは、これらの問題は近く修正予定です。

直ぐに kvm パッケージをアップグレードすることを勧めます。

修正:

ソース:: http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg.orig.tar.gz; http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny4.diff.gz; http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny4.dsc
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/k/kvm/kvm-source_72+dfsg-5~lenny4_all.deb
AMD64:: http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny4_amd64.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny4_i386.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。