DSA-4112-1 xen -- обновление безопасности

Высокая (6.9)

(AV:L/AC:M/Au:N/C:C/I:C/A:C)

Debian

libxen-4.8 (any) libxen-dev (any) libxenstore3.0 (any) xen-hypervisor-4.8-amd64 (any) xen-hypervisor-4.8-arm64 (any) xen-hypervisor-4.8-armhf (any) xenstore-utils (any) xen-system-amd64 (any) xen-system-arm64 (any) xen-system-armhf (any) xen-utils-4.8 (any) xen-utils-common (any)

В гипервизоре Xen были обнаружены многочисленные уязвимости:

CVE-2017-17563
    Ян Бёлих обнаружил, что неправильный подсчёт ссылок переполняет
    проверку в режиме тени для x86, что может приводить к отказу в обслуживанию или
    повышению привилегий.
CVE-2017-17564
    Ян Бёлих обнаружил, что некорректная обработка ошибок при подсчёте ссылок
    в режиме тени для x86 может приводить к отказу в обслуживании или повышению
    привилегий.
CVE-2017-17565
    Ян Бёлих обнаружил, что неполная проверка ошибок в обработке log-dirty для
    x86 может приводить к отказу в обслуживании.
CVE-2017-17566
    Ян Бёлих обнаружил, что гостевые системы при паравиртуализации x86 могут получить
    доступ к внутренне используемым страницам памяти, что может приводить к отказу в обслуживании
    или потенциальному повышению привилегий.

Кроме того, данное обновление содержит прослойку Comet, предназначенную для
исправления уязвимостей типа Meltdown в гостевых системах с устаревшими паравиртуализованными
ядрами. Также пакет предоставляет средства для минимизации опасности Xen PTI stage 1, которые
встроены и включены по умолчанию в системах Intel, но могут быть отключены с помощью
команды гипервизора `xpti=false' (не имеет смысла использовать одновременно
и xpti, и прослойку Comet).
За подробностями о том, как настроить отдельные стратегии снижения рисков
обращайтесь к документации по следующему URL:
https://xenbits.xen.org/xsa/advisory-254.htmlhttps://xenbits.xen.org/xsa/advisory-254.html">https://xenbits.xen.org/xsa/advisory-254.html /> Дополнительную информацию можно найти в файлах README.pti и README.comet.
В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1.
Рекомендуется обновить пакеты xen.
С подробным статусом поддержки безопасности xen можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
https://security-tracker.debian.org/tracker/xen">https://security-tracker.debian.org/tracker/xen">https://security-tracker.debian.org/tracker/xen

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
libxen-4.8 - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
libxen-dev - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
libxenstore3.0 - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
xen-hypervisor-4.8-amd64 - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
xen-hypervisor-4.8-arm64 - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
xen-hypervisor-4.8-armhf - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
xen-system-amd64 - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
xen-system-arm64 - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
xen-system-armhf - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
xen-utils-4.8 - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
xen-utils-common - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1
xenstore-utils - 4.8.3+comet2+shim4.10.0+comet3-1+deb9u4.1

http://www.debian.org/security/dsa-4112/

Источник: CVE
Наименование: CVE-2017-17565
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17565

Источник: CVE
Наименование: CVE-2017-17564
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17564

Источник: CVE
Наименование: CVE-2017-17566
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17566

Источник: CVE
Наименование: CVE-2017-17563
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17563