Description :
De multiples problèmes de sécurité ont été découverts récemment dans la solution de virtualisation Xen. Ces problèmes peuvent entraîner un déni de service (plantage de l’hôte), la divulgation de renseignements ou l’accès à des privilèges non autorisés. Tous les détails sont disponibles dans les bulletins de sécurité Xen (XSA) ci-dessous.
Bulletins de sécurité Xen (XSA)
- Les bulletins de vulnérabilités les plus récents ainsi que les plus anciens sont disponibles dans le site officiel: http://xenbits.xen.org/xsa/
Systèmes vulnérables
Le contenu de cette section est une traduction d'une partie des bulletins officiels disponibles à http://xenbits.xen.org/xsa/
| Advisory | CVE |
Vulnerable systems |
| Voir les détails de chanque bulletin ici http://xenbits.xen.org/xsa/ |
Voir les détails de chanque bulletin ici http://xenbits.xen.org/xsa/
__________________________________________ |
|
|
Xen 3.3 et les versions ultérieures sont vulnérables.
__________________________________________ |
||
| Tous les systèmes exécutant Xen HVM invités x86 sans stubdomains sont vulnérables à cette fonction de la configuration spécifique du client. La configuration par défaut est vulnérable. Les clients utilisant soit la "qemu-xen" traditionnel ou le dispositif de qemu upstream sont vulnérables. Plus de détails dans cette page officielle XSA-133 VENOM, CVE-2015-3456, est une vulnérabilité de sécurité dans le code de lecteur virtuel de disquette utilisé par de nombreuses plates-formes de virtualisation. Cette vulnérabilité peut permettre à un attaquant d'échapper aux limites d'une machine virtuelle (VM) invitée vulnérable et potentiellement obtenir l'accès d'exécution de code à l'hôte. Sans mitigation, cette évasion pourrait ouvrir l'accès au système hôte et toutes les autres machines virtuelles en cours d'exécution sur cet hôte, donnant potentiellement accès adversaires élevé important pour les systèmes de réseau et locaux adjacents de l'hôte.
Détails supplémentaires: http://venom.crowdstrike.com/ Pour résoudre ce problème, vous pouvez suivre les instructions décrites dans la section "Resolution" du site officiel (en anglais) http://xenbits.xen.org/xsa/advisory-133.html et appliquer les correctifs nécessaires. Voir les détails dans cet article (en anglais) https://kb.iweb.com/entries/93914518--Security-vulnerability-VENOM-CVE-2015-3456-QEMU-XEN-KVM-?locale=1
|
||
| Autres bulletins |
|
Voir le site officiel (En anglais) http://xenbits.xen.org/xsa/ __________________________________________ |
| XSA-124 |
Voir la section "VULNERABLE SYSTEMS" de http://xenbits.xen.org/xsa/advisory-124.html pour plus de détails (En Anglais) __________________________________________ |
|
| XSA-123 |
CVE-2015-2151 |
Xen 3.2.x et les versions ultérieures sont vulnérables. Xen 3.1.x et les versions antérieures n’ont pas été inspectées. Seuls les systèmes x86 sont vulnérables. Les systèmes ARM ne sont pas vulnérables. __________________________________________ |
| XSA-122 |
CVE-2015-2045 |
Xen 3.2.x et les versions ultérieures sont vulnérables. Xen 3.1.x et les versions antérieures n’ont pas été inspectées. __________________________________________ |
| XSA-121 |
CVE-2015-2044 |
Xen 3.2.x et les versions ultérieures sont vulnérables. Xen 3.1.x et les versions antérieures n’ont pas été inspectées. Seuls les machines virtuelles (HVM) invitées peuvent tirer parti de cette vulnérabilité. Seuls les systèmes x86 sont vulnérables. Les systèmes ARM ne sont pas vulnérables. __________________________________________ |
| XSA-120 |
CVE-2015-2150 |
Xen 3.3 et les versions ultérieures sont vulnérables. Upstream Linux versions 3.1 et les versions ultérieures sont vulnérables. Autres versions de Linux et autres versions de systèmes d'exploitation peuvent aussi être vulnérables. Tout domaine ayant accès à une fonction virtuelle non-SR-IOV du périphérique PCI Express peut exploiter cette vulnérabilité. |
| XSA-119 | CVE-2015-2152 |
Voir les détails ici: http://xenbits.xen.org/xsa/advisory-119.html __________________________________________ |
| ... |
Voir le site officiel : http://xenbits.xen.org/xsa/ __________________________________________ |
|
| XSA-110 |
CVE-2014-8595 |
Xen 3.2.1 et les versions ultérieures sont vulnérables sur x86. Les systèmes ARM ne sont pas vulnérables. __________________________________________ |
| XSA-109 |
CVE-2014-8594 |
Xen 4.0 et les versions ultérieures sont vulnérables. Seuls les systèmes x86 sont vulnérables. Les systèmes ARM ne sont pas vulnérables.. __________________________________________ |
| XSA-108 |
CVE-2014-7188 |
Xen 4.1 et les versions ultérieures sont vulnérables. Seuls les systèmes x86 sont vulnérables. Les systèmes ARM ne sont pas vulnérables. __________________________________________ |
| XSA-107 |
CVE-2014-6268 |
Xen 4.4 et les versions ultérieures sont vulnérables. __________________________________________ |
| XSA-106 |
CVE-2014-7156 |
Xen est vulnérable à partir de la version 3.3. Seuls les processus utilisateurs dans les machines virtuelles (HVM) invitées peuvent tirer parti de cette vulnérabilité. __________________________________________ |
| XSA-105 |
CVE-2014-7155 |
Xen est vulnérable au moins à partir de la version 3.2.x. Les versions plus anciennes n’ont pas été inspectées. Seuls les processus utilisateurs dans les machines virtuelles (HVM) invitées peuvent tirer parti de cette vulnérabilité. __________________________________________ |
| XSA-104 |
CVE-2014-7154 |
Xen est vulnérable à partir de la version 4.0.0. Cette vulnérabilité s’applique seulement aux systèmes Xen fonctionnant avec des domaines de stub ou d’autres formes de découpage de domaines de contrôle pour des machines virtuelles (HVM) invitées. __________________________________________ |
| Anciens bulletins |
Voir le site officiel : http://xenbits.xen.org/xsa/ |
Pour vérifier la version de votre serveur Xen, utilisez la commande suivante :
xm info
Résolution et mesures d’atténuation
Tous les détails à propos des mesures de migration à prendre et des correctifs de sécurité à installer sont disponibles dans le bulletin de sécurité Xen (XSA) sur le sujet : http://xenbits.xen.org/xsa/
Documents de référence (en anglais) :
- http://www.cvedetails.com/vulnerability-list/vendor_id-6276/XEN.html
0 Commentaires