DebianDSA-4003-1:libvirt - セキュリティ更新

high Nessus プラグイン ID 103994

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Daniel P. Berrange氏は、仮想化抽出ライブラリであるLibvirtが、QEMUでTLSクライアントとサーバーを設定する際、qemu.confでdefault_tls_x509_verifyおよび(関連)パラメーターを適切に処理していないことを報告しました。これにより、文字デバイスおよびディスクデバイス用のTLSクライアントの検証がオフになり、サーバー認証の検証中にエラーが無視されます。

詳細についてはhttps://security.libvirt.org/2017/0002.htmlを参照してください。

ソリューション

libvirtパッケージをアップグレードしてください。

安定版(stable)ディストリビューション(stretch)では、この問題はバージョン3.0.0-4~deb9u1で修正されています。

関連情報

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=878799

https://security.libvirt.org/2017/0002.html

https://packages.debian.org/source/stretch/libvirt

https://www.debian.org/security/2017/dsa-4003

プラグインの詳細

深刻度: High

ID: 103994

ファイル名: debian_DSA-4003.nasl

バージョン: 3.5

タイプ: local

エージェント: unix

公開日: 2017/10/20

更新日: 2021/1/4

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

Base Score: 6.8

ベクトル: AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS v3

リスクファクター: High

Base Score: 8.1

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:libvirt, cpe:/o:debian:debian_linux:9.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

パッチ公開日: 2017/10/19

参照情報

CVE: CVE-2017-1000256

DSA: 4003