Bulletin d'alerte Debian
DSA-3613-1 libvirt -- Mise à jour de sécurité
- Date du rapport :
- 2 juillet 2016
- Paquets concernés :
- libvirt
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2016-5008.
- Plus de précisions :
-
Vivian Zhang et Christoph Anton Mitterer ont découvert que la configuration d'un mot de passe VNC vide ne fonctionne pas comme cela est documenté dans Libvirt, une bibliothèque d'abstraction de virtualisation. Quand le mot de passe d'un serveur VNC est réglé à une valeur de chaîne vide, l'authentification sur le serveur VNC sera désactivée, permettant à n'importe quel utilisateur de se connecter, au contraire de la documentation qui déclare que configurer avec un mot de passe vide un serveur VNC empêche toutes les connexions client. Avec cette mise à jour, le comportement est imposé en réglant l'expiration du mot de passe à
now
.Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 1.2.9-9+deb8u3.
Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 2.0.0-1.
Nous vous recommandons de mettre à jour vos paquets libvirt.