Debian DSA-3969-1：xen - セキュリティ更新

critical Nessus プラグイン ID 103146

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Xenハイパーバイザーで複数の脆弱性が発見されました：

- CVE-2017-10912Jann Horn氏は、ページ転送の不適切な処理が権限昇格を引き起こす可能性があることを発見しました。

- CVE-2017-10913 / CVE-2017-10914Jann Horn氏は、付与処理の競合状態により、情報漏洩または権限昇格が発生する可能性があることを発見しました。

- CVE-2017-10915Andrew Cooper氏は、シャドウページングでの不適切な参照カウントにより、権限昇格が発生する可能性があることを発見しました。

- CVE-2017-10916Andrew Cooper氏は、Memory Protection Extensions（MPX）およびProtection Key（PKU）CPU機能の処理で情報漏洩を発見しました。この影響を受けるのはDebian stretchだけです。

- CVE-2017-10917Ankur Arora氏は、イベントポーリングに、サービス拒否を発生させるNULL ポインターデリファレンスを発見しました。

- CVE-2017-10918Julien Grall氏は、physical-to-machineメモリマッピングにおける不適切なエラー処理により、権限昇格、サービス拒否、または情報漏洩が発生する可能性があることを発見しました。

- CVE-2017-10919Julien Grall氏は、ARMシステムでの仮想割り込みインジェクションの不適切な処理により、サービス拒否が発生する可能性があることを発見しました。

- CVE-2017-10920 / CVE-2017-10921 / CVE-2017-10922Jan Beulich氏は、権限昇格を引き起こす可能性がある、付与テーブル操作の参照カウントが不適切な複数の場所を発見しました。

- CVE-2017-12135Jan Beulich氏は、推移的な付与の処理に複数の問題を発見しました。これにより、サービス拒否や、権限昇格が引き起こされる可能性があります。

- CVE-2017-12136Ian Jackson氏は、許可マッピングに対するアロケーターの競合状態が、サービス拒否または権限昇格につながる可能性があることを発見しました。この影響を受けるのはDebian stretchだけです。

-CVE-2017-12137 Andrew Cooper氏は、権限付与の不適切な検証により権限昇格が発生する可能性があることを発見しました。

- CVE-2017-12855Jan Beulich氏は、付与ステータスを不適切に処理していることを発見しました。これにより、付与が今後使用されないことをゲストに誤って通知します。

- XSA-235（CVEはまだありません）

Wei Liu氏は、ARM上のadd-to-physmap操作の不適切なロックにより、サービス拒否が発生する可能性があることを発見しました。

ソリューション

xenパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（jessie）では、これらの問題はバージョン4.4.1-9+deb8u10で修正されています。

安定版（stable）ディストリビューション（stretch）では、これらの問題はバージョン4.8.1-1+deb9u3で修正されています。