Avis du CERT-FR
Objet : Vulnérabilité de Xen
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Exécution de code arbitraire en local
Systèmes affectés
Xen versions 3.3 et antérieures.
Résumé
Une vulnérabilité a été découverte dans le logiciel de virtualisation Xen. L'exploitation de cette vulnérabilité permet à un utilisateur malintentionné de réaliser un déni de service local ou de contourner la politique de sécurité.
Description
Une vulnérabilité a été découverte dans la gestion des appels flask_op. L'exploitation de cette vulnérabilité provoque un débordement de tas qu'une personne malintentionnée peut utiliser afin d'exécuter du code arbitraire sous les privilèges Dom0.
Seules les versions de Xen compilées avec la prise en charge du module XSM:FLASK sont vulnérables.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Mise à jour différentielle de Xen 21 juillet 2008 :
http://xenbits.xensource.com/xen-3.3-testing.hq?rev/fa66b33f975a -
Référence CVE CVE-2008-3687
https://www.cve.org/CVERecord?id=CVE-2008-3687
Gestion détaillée du document
| Date | Description |
|---|---|
| 27 août 2008 | version initiale. |