GLSA-201612-10：libvirt：ディレクトリトラバーサル

low Nessus プラグイン ID 95525

Language:

概要

リモートのGentooホストに1つ以上のセキュリティ関連のパッチがありません。

説明

リモートホストは、GLSA-201612-10（libvirt：ディレクトリトラバーサル）に記載されている脆弱性に影響されています。通常、権限のあるユーザーのみがvirStorageVol APIを使用してlibvirtに既存ファイルの作成またはオープンを強制できます。このようなユーザーは、ドメインXMLを作成するための完全な特権を既に持っています。しかし、ファイングレインACLの場合、ユーザーにstorage_vol:createが付与され、domain:writeは付与されないことがあり、そのようなユーザーがlibvirtを乱用してストレージプール外のファイルにアクセスできる場合、想定に違反します。影響：細粒度のアクセスコントロールリスト（ACL）が有効な場合、storage_vol:create権限があるがdomain:write権限のないユーザーは、ストレージプール外に任意のファイルを作成したり、これらのファイルにアクセスできる可能性があります。回避策：libvirtで細粒度のアクセスコントロールリスト（ACL）を使用しないでください。Gentooでは、"policykit" USEフラグを有効にしない限り、libvirtのACLサポートはデフォルトで無効になります。