OracleVM 3.2：xen （OVMSA-2013-0085）

medium Nessus プラグイン ID 79523

Language:

概要

リモート OracleVM ホストに 1 つ以上のセキュリティ更新が欠落しています。

説明

リモートの OracleVM システムに、重要なセキュリティ更新に対処するために必要なパッチがありません。

- x86/HVM：リング 0 ゲストコードのみが、ハイパーコールを実行できますこれ以外では、権限昇格を実行できます。これは CVE-2013-4554 / XSA-76 です。（CVE-2013-4554）

- x86：XEN_DOMCTL_getmemlist Coverity ID 1055652 を制限します（コードコメントを参照）これは CVE-2013-4553 / XSA-74 です。
（CVE-2013-4553）

- gnttab：xsa73-4.1.patch のバージョン 1 をバージョン 3 に更新します xsa73-4.1.patch のバージョン 1 には次のエラーがありました：bool_t drop_dom_ref = (e->tot_pages-- == 0) は次のようにすべきでした：
bool_t drop_dom_ref = (e->tot_pages-- == 1)

エラー処理を統合します。

Xen-4.1 へバックポートしました（CVE-2013-4494）

- Xen：起動時にページのスクラブを利用できるすべての CPU に広めます、著者 Malcolm Crossley 氏、ページのスクラブは CPU 全体にわたり 256MB チャンクでロックステップ方式により行われます。これにより、起動 CPU は、各チャンクがスクラブされている間に heap_lock を保留して、すべての CPU がそれぞれのチャンクをスクラブし終えたら、heap_lock をリリースすることができます。これにより、heap_lock を絶え間なく留めておく必要はなくなり、保留中の softirqs は CPU 全体にわたり定期的にサービスを行うことが可能です。ページスクラブのメモリチャンクは、ソケット相互接続のオーバーヘッドを削減し、パフォーマンスを改善するために、NUMA が認識の方式で CPU に割り当てられます。このパッチでは、起動時のページスクラブ時間を、256GB の 16 コア AMD Opteron マシンで、1 分 46 秒から 38 秒に短縮しています。

- gnttab：ロックの順番が逆になっていることを訂正 Coverity ID 1087189 ドメインページ割り当てロックとテーブル許可ロックの間でロックの順番が逆になっていることを訂正。これは XSA-73 です。

エラー処理を統合します。

Xen-4.1 へバックポートしました（CVE-2013-4494）

- piix4acpi、xen、hotplug：ACPI AML コードとホットプラグとの競合を修正します。これは競合であるため、量は一定ではありませんが、4PCPU ボックスで 16 vCPU をオンラインにすることを希望しても、最大で 14 までしか見込めません。直面している問題は、QEMU xenstore.c ホットプラグコードが、vCPU 配列を変更し、vCPU のオンライン/オフラインの変更ごとに ACPI SCI を誘発していることです。つまり、ゲストの ACPI AML コードが vCPU の配列を読み取っているときに、それを変更しているため、ゲストはデータを一度だけ読み取り、CPU 状態を適切に変更しないことになります。
修正は、vCPU 配列の変更を ACPI SCI の通知から切り離すためのものです。現在のコードでは、すべての vCPU を列挙し、変更の必要がある場合に vCPU 配列を変更しています。変更が行われなかった場合は、only _one__ ACPI SCI パルスがゲストに送信されます。その時点で、vCPU 配列は、ユーザーが希望していたとおりに、オンライン/オフラインの変更が行われています。

[v1：malloc/free の代わりに「attr」に対するスタックを使用する]

- piix4acpi、xen：qemu_set_irq 呼び出しが IRQ パルスをただ行うことを明確にします。「qemu_cpu_notify」は、vCPU 状態が変わった場合、ACPI SCI ラインを引き上げたり引き下げたりします。
2 つの関数ではなく、処理が正確に記述されている 1 つの関数のみを使用します。

- piix4acpi、xen、vcpu hotplug：通知を変更から分割します。これは、vCPU 変更の通知を vCPU 配列への実際の変更から切り離すパッチです。

- バックポートされた Carson の変更 - ポート 8003 で接続するための、貧弱/脆弱な暗号化を伴うリクエストは、現在拒否されます。