Bulletin d'alerte Debian
DSA-2010-1 kvm -- Augmentation de droits et déni de service
- Date du rapport :
- 10 mars 2010
- Paquets concernés :
- kvm
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2010-0298, CVE-2010-0306, CVE-2010-0309, CVE-2010-0419.
- Plus de précisions :
-
Plusieurs vulnérabilités locales ont été découvertes dans KVM, un système de virtualisation complet. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.
- CVE-2010-0298
CVE-2010-0306
Gleb Natapov a découvert des problèmes dans le sous-système KVM où des vérifications de droits manquantes (CPL/IOPL) permettent à un utilisateur de système client de provoquer un déni de service du client (plantage du système) ou d'obtenir des droits augmentés dans le client.
- CVE-2010-0309
Marcelo Tosatti a corrigé un problème dans le code d'émulation PIT du sous-système KVM qui permet aux utilisateurs privilégiés d'un domaine client de provoquer un déni de service (plantage) du système hôte.
- CVE-2010-0419
Paolo Bonzini a trouvé un bogue dans KVM qui peut être utilisé pour contourner la vérification correcte de droits lors du chargement de sélecteurs de segment. Cela peut permettre aux utilisateurs privilégiés d'un client d'exécuter des instructions privilégiées sur le système hôte.
Pour la distribution stable (Lenny), ce problème a été corrigé dans la version 72+dfsg-5~lenny5.
Pour la distribution testing (Squeeze) et la distribution unstable (Sid), ces problèmes seront abordés dans le paquet linux-2.6.
Nous vous recommandons de mettre à jour votre paquet kvm.
- CVE-2010-0298
CVE-2010-0306
- Corrigé dans :
-
Debian GNU/Linux 5.0 (lenny)
- Source :
- http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny5.dsc
- http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg.orig.tar.gz
- http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny5.diff.gz
- http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg.orig.tar.gz
- Composant indépendant de l'architecture :
- http://security.debian.org/pool/updates/main/k/kvm/kvm-source_72+dfsg-5~lenny5_all.deb
- AMD64:
- http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny5_amd64.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/k/kvm/kvm_72+dfsg-5~lenny5_i386.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.