Oracle Linux 7:libvirt(ELSA-2016-2577)

critical Nessus プラグイン ID 94700

概要

リモートのOracle Linuxホストに、1つ以上のセキュリティ更新がありません。

説明

出典:Red Hatセキュリティアドバイザリ2016:2577:libvirtの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS(共通脆弱性評価システム)ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。libvirtライブラリには、Linuxなどのオペレーティングシステムの仮想化機能を管理、操作するためのC APIが含まれます。さらに、libvirtは、仮想化されたシステムをリモートで管理するためのツールも提供します。libvirt(2.0.0)のパッケージが新しいアップストリームバージョンにアップグレードされました。(BZ#830971、BZ#1286679)セキュリティ修正プログラム:* libvirtデーモンがRBD(RADOSブロックデバイス)を使用しているとき、プロセスリストに秘密の資格情報が漏えいしていたことがわかりました。ローカルの攻撃者は、この欠陥を使用してクラスタ内で特定の権限を持つ操作を実行する可能性があります。(CVE-2015-5160)* libvirtデーモンがストレージボリュームのファイルシステム名を処理する方法に、パストラバーサルの欠陥が見つかりました。ストレージボリュームを作成する権限を持ち、ドメインを作成および変更する権限を持たないlibvirtユーザーは、この欠陥を使用して権限を昇格させる可能性があります。(CVE-2015-5313)* VNCパスワードをlibvirtの空の文字列に設定しても、VNCサーバーへのすべてのアクセスが文書化されているとおりに無効化されず、認証の必要なくアクセスを許可することがわかりました。攻撃者はこの欠陥を利用して、認証なしで空のVNCパスワードを持つVNCサーバーにアクセスする可能性があります。(CVE-2016-5008)追加の変更:このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

ソリューション

影響を受けるlibvirtパッケージを更新してください。

参考資料

https://oss.oracle.com/pipermail/el-errata/2016-November/006468.html

プラグインの詳細

深刻度: Critical

ID: 94700

ファイル名: oraclelinux_ELSA-2016-2577.nasl

バージョン: 2.6

タイプ: local

エージェント: unix

公開日: 2016/11/11

更新日: 2021/1/14

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

基本値: 4.3

現状値: 3.2

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N

CVSS v3

リスクファクター: Critical

基本値: 9.8

現状値: 8.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:oracle:linux:libvirt, p-cpe:/a:oracle:linux:libvirt-client, p-cpe:/a:oracle:linux:libvirt-daemon, p-cpe:/a:oracle:linux:libvirt-daemon-config-network, p-cpe:/a:oracle:linux:libvirt-daemon-config-nwfilter, p-cpe:/a:oracle:linux:libvirt-daemon-driver-interface, p-cpe:/a:oracle:linux:libvirt-daemon-driver-lxc, p-cpe:/a:oracle:linux:libvirt-daemon-driver-network, p-cpe:/a:oracle:linux:libvirt-daemon-driver-nodedev, p-cpe:/a:oracle:linux:libvirt-daemon-driver-nwfilter, p-cpe:/a:oracle:linux:libvirt-daemon-driver-qemu, p-cpe:/a:oracle:linux:libvirt-daemon-driver-secret, p-cpe:/a:oracle:linux:libvirt-daemon-driver-storage, p-cpe:/a:oracle:linux:libvirt-daemon-kvm, p-cpe:/a:oracle:linux:libvirt-daemon-lxc, p-cpe:/a:oracle:linux:libvirt-devel, p-cpe:/a:oracle:linux:libvirt-docs, p-cpe:/a:oracle:linux:libvirt-lock-sanlock, p-cpe:/a:oracle:linux:libvirt-login-shell, p-cpe:/a:oracle:linux:libvirt-nss, cpe:/o:oracle:linux:7

必要な KB アイテム: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2016/11/10

脆弱性公開日: 2016/4/11

参照情報

CVE: CVE-2015-5160, CVE-2015-5313, CVE-2016-5008

RHSA: 2016:2577