さまざまな仮想化システムと相互作用するライブラリである libvirt に、パスワードポリシーの問題があることが判明しました。

空のグラフィックスパスワードを設定すると、VNC/SPICE アクセスを無効にする方法として記録されますが、QEMU は常にそのように動作する訳ではありません。VNC は空のパスワードを受け入れます。弊社では、パスワードの有効期限を「現在」に設定することで、この動作を強制します。

Debian 7「Wheezy」では、この問題は libvirt バージョン　0.9.12.3-1+deb7u2 で修正されました。

libvirt パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Debian DLA-541-1：libvirt セキュリティ更新

critical Nessus プラグイン ID 91921

変更ログが見つかりません