Informations de sécurité / 2015 / Informations sur la sécurité -- DSA-3259-1 qemu

Bulletin d'alerte Debian

DSA-3259-1 qemu -- Mise à jour de sécurité

Date du rapport :

13 mai 2015

Paquets concernés :

qemu

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2014-9718, CVE-2015-1779, CVE-2015-2756, CVE-2015-3456.

Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans la solution de virtualisation qemu :

• CVE-2014-9718

  l'émulation de contrôleur IDE est vulnérable à un déni de service.

• CVE-2015-1779

  Daniel P. Berrange a découvert une vulnérabilité de déni de service dans le décodeur de socket web de VNC.

• CVE-2015-2756

  Jan Beulich a découvert qu'un registre de commande PCI direct pourrait avoir pour conséquence un déni de service.

• CVE-2015-3456

  Jason Geffner a découvert un dépassement de tampon dans l'émulation de lecteur de disquette, avec pour conséquence l'éventuelle exécution de code arbitraire.

Pour la distribution oldstable (Wheezy), ces problèmes ont été corrigés dans la version 1.1.2+dfsg-6a+deb7u7 du paquet source de qemu et dans la version 1.1.2+dfsg-6+deb7u7 du paquet source qemu-kvm. Seul CVE-2015-3456 affecte oldstable.

Pour la distribution stable (Jessie), ces problèmes ont été corrigés dans la version 1:2.1+dfsg-12.

Pour la distribution unstable (Sid), ces problèmes seront corrigés prochainement.

Nous vous recommandons de mettre à jour vos paquets qemu.