Multiples vulnérabilités dans Xen (XSA-*)

Description :

De multiples problèmes de sécurité ont été découverts récemment dans la solution de virtualisation Xen. Ces problèmes peuvent entraîner un déni de service (plantage de l’hôte), la divulgation de renseignements ou l’accès à des privilèges non autorisés. Tous les détails sont disponibles dans les bulletins de sécurité Xen (XSA) ci-dessous.

Bulletins de sécurité Xen (XSA)

  • Les bulletins de vulnérabilités les plus récents ainsi que les plus anciens sont disponibles dans le site officiel:  http://xenbits.xen.org/xsa/

Systèmes vulnérables

Le contenu de cette section est une traduction d'une partie des bulletins officiels disponibles à http://xenbits.xen.org/xsa/

Advisory CVE

Vulnerable systems

Voir les détails de chanque bulletin ici http://xenbits.xen.org/xsa/

Voir les détails de chanque bulletin ici http://xenbits.xen.org/xsa/

 

__________________________________________

Xen 3.3 et les versions ultérieures sont vulnérables.

 

 

__________________________________________

XSA-133

CVE-2015-3456

Tous les systèmes exécutant Xen HVM invités x86 sans stubdomains sont
vulnérables à cette fonction de la configuration spécifique du client. La
configuration par défaut est vulnérable.

Les clients utilisant soit la "qemu-xen" traditionnel ou le dispositif de qemu upstream sont vulnérables.

Plus de détails dans cette page officielle XSA-133
 
VENOM, CVE-2015-3456, est une vulnérabilité de sécurité dans le code de lecteur virtuel de disquette utilisé par de nombreuses plates-formes de virtualisation. Cette vulnérabilité peut permettre à un attaquant d'échapper aux limites d'une machine virtuelle (VM) invitée vulnérable et potentiellement obtenir l'accès d'exécution de code à l'hôte. Sans mitigation, cette évasion pourrait ouvrir l'accès au système hôte et toutes les autres machines virtuelles en cours d'exécution sur cet hôte, donnant potentiellement accès adversaires élevé important pour les systèmes de réseau et locaux adjacents de l'hôte.

Détails supplémentaires: http://venom.crowdstrike.com/
 
Pour résoudre ce problème, vous pouvez suivre les instructions décrites dans la section "Resolution" du site officiel (en anglais) http://xenbits.xen.org/xsa/advisory-133.html et appliquer les correctifs nécessaires. Voir les détails dans cet article (en anglais) https://kb.iweb.com/entries/93914518--Security-vulnerability-VENOM-CVE-2015-3456-QEMU-XEN-KVM-?locale=1
Autres bulletins

 

Voir le site officiel (En anglais) http://xenbits.xen.org/xsa/

__________________________________________

XSA-124  

 Voir la section "VULNERABLE SYSTEMS" de http://xenbits.xen.org/xsa/advisory-124.html pour plus de détails (En Anglais)

__________________________________________

XSA-123

CVE-2015-2151

Xen 3.2.x et les versions ultérieures sont vulnérables.

Xen 3.1.x et les versions antérieures n’ont pas été inspectées.

Seuls les systèmes x86 sont vulnérables.

Les systèmes ARM ne sont pas vulnérables.

__________________________________________

XSA-122

CVE-2015-2045

Xen 3.2.x et les versions ultérieures sont vulnérables.

Xen 3.1.x et les versions antérieures n’ont pas été inspectées.

__________________________________________

XSA-121

CVE-2015-2044

Xen 3.2.x et les versions ultérieures sont vulnérables.

Xen 3.1.x et les versions antérieures n’ont pas été inspectées. 

Seuls les machines virtuelles (HVM) invitées peuvent tirer parti de cette vulnérabilité.

Seuls les systèmes x86 sont vulnérables.

Les systèmes ARM ne sont pas vulnérables.

__________________________________________

XSA-120

CVE-2015-2150

Xen 3.3 et les versions ultérieures sont vulnérables.

Upstream Linux versions 3.1 et les versions ultérieures sont vulnérables.

Autres versions de Linux et autres versions de systèmes d'exploitation peuvent aussi être vulnérables.

Tout domaine ayant accès à une fonction virtuelle non-SR-IOV du périphérique PCI Express peut exploiter cette vulnérabilité.

XSA-119 CVE-2015-2152 

Voir les détails ici: http://xenbits.xen.org/xsa/advisory-119.html

__________________________________________

...  

Voir le site officiel : http://xenbits.xen.org/xsa/

__________________________________________

XSA-110

CVE-2014-8595

Xen 3.2.1 et les versions ultérieures sont vulnérables sur x86. 

Les systèmes ARM ne sont pas vulnérables.

__________________________________________

XSA-109

CVE-2014-8594

Xen 4.0 et les versions ultérieures sont vulnérables.

Seuls les systèmes x86 sont vulnérables. 

Les systèmes ARM ne sont pas vulnérables..

__________________________________________

XSA-108

CVE-2014-7188

Xen 4.1 et les versions ultérieures sont vulnérables.

Seuls les systèmes x86 sont vulnérables.

Les systèmes ARM ne sont pas vulnérables.

__________________________________________

XSA-107

CVE-2014-6268

Xen 4.4 et les versions ultérieures sont vulnérables.

__________________________________________

XSA-106

CVE-2014-7156

Xen est vulnérable à partir de la version 3.3.

Seuls les processus utilisateurs dans les machines virtuelles (HVM) invitées peuvent tirer parti de cette vulnérabilité.

__________________________________________

XSA-105

CVE-2014-7155

Xen est vulnérable au moins à partir de la version 3.2.x.

Les versions plus anciennes n’ont pas été inspectées.

Seuls les processus utilisateurs dans les machines virtuelles (HVM) invitées peuvent tirer parti de cette vulnérabilité.

__________________________________________

XSA-104

CVE-2014-7154

Xen est vulnérable à partir de la version 4.0.0.

Cette vulnérabilité s’applique seulement aux systèmes Xen fonctionnant avec des domaines de stub ou d’autres formes de découpage de domaines de contrôle pour des machines virtuelles (HVM) invitées.

__________________________________________

Anciens bulletins  

Voir le site officiel : http://xenbits.xen.org/xsa/

 

Pour vérifier la version de votre serveur Xen, utilisez la commande suivante :

xm info

Résolution et mesures d’atténuation

Tous les détails à propos des mesures de migration à prendre et des correctifs de sécurité à installer sont disponibles dans le bulletin de sécurité Xen (XSA) sur le sujet : http://xenbits.xen.org/xsa/

 

Documents de référence (en anglais) :

http://xenbits.xen.org/xsa/

http://www.cvedetails.com/vulnerability-list/vendor_id-6276/XEN.html

Vous avez d’autres questions ? Envoyer une demande

0 Commentaires

Cet article n'accepte pas de commentaires.
Réalisé par Zendesk