DSA-2666-1 xen -- несколько уязвимостей

Высокая (6.9)

(AV:L/AC:M/Au:N/C:C/I:C/A:C)

Debian

libxen-4.1 (any) libxen-dev (any) libxen-ocaml (any) libxen-ocaml-dev (any) libxenstore3.0 (any) xen-docs-4.0 (any) xen-docs-4.1 (any) xen-hypervisor-4.0-amd64 (any) xen-hypervisor-4.0-i386 (any) xen-hypervisor-4.1-amd64 (any) xen-hypervisor-4.1-i386 (any) xenstore-utils (any) xen-system-amd64 (any) xen-system-i386 (any) xen-utils-4.0 (any) xen-utils-4.1 (any) xen-utils-common (any)

В гипервизоре Xen были обнаружены несколько уязвимостей. Проект
Common Vulnerabilities and Exposures определяет следующие
проблемы:

CVE-2013-1918

(XSA
45) предварительно не очищаются некоторые операции с длительной задержкой.

Оперции манипулирования некоторыми таблицами для гостей PV предварительно не
    очищаются, что позволяет вредоносному или проблемному ядру PV производить
    атаку по принципу отказа в обслуживании, затрагивающей всю систему.
CVE-2013-1952

(XSA
49) утечка источника переотображения прерывания VT-d для мостов.

Из-за отсутствия проверки источника записей в таблице переотображения прерываний
    для прерываний MSI, устанавливаемых мостами, домен, имеющий
    доступ к такому устройству, может производить атаку по принципу отказа в
    обслуживании, затрагивающую всю систему.
CVE-2013-1964

(XSA
50) дисбаланс таблицы грантов гипервызовов получить/отпустить.

При отпускании определённого, нетранзитивного гранта во время операции
    копирования гранта Xen некорректно отпускает несвязанное указание
    гранта, что ведёт к возможному аварийному завершению основной систему.
    Кроме того, нельзя избежать и утечки информации или повышения
    привилегий.

В предыдущем стабильном выпуске (squeeze) эти проблемы были исправлены в
версии 4.0.1-5.11.
В стабильном выпуске (wheezy) эти проблемы были исправлены в
версии 4.1.4-3+deb7u1.
В тестируемом выпуске (jessie) эти проблемы были исправлены в
версии 4.1.4-4.
В нестабильном выпуске (sid) эти проблемы были исправлены в
версии 4.1.4-4.
Заметьте, что в стабильном (wheezy), тестируемом и нестабильном выпусках
CVE-2013-1964
(XSA
50) уже была исправлена в версии 4.1.4-3.
Рекомендуется обновить пакеты xen.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 6:
noarch:
xen - 4.0.1-5.11
Debian GNU/Linux 7:
noarch:
xen - 4.1.4-3+deb7u1

http://www.debian.org/security/dsa-2666/

Источник: CVE
Наименование: CVE-2013-1918
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1918

Источник: CVE
Наименование: CVE-2013-1964
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1964

Источник: CVE
Наименование: CVE-2013-1952
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1952