Les dernières mises à jour d'hyperviseur de Xen manquent certains correctifs de sécurité

Le projet Xen a publié de nouvelles versions de son hyperviseur de machine virtuelle, mais a oublié d'inclure complètement deux correctifs de sécurité qui avaient été précédemment mis à disposition.

L'hyperviseur Xen est largement utilisé par les fournisseurs de cloud computing et les sociétés d'hébergement de serveurs privés virtuels.

Xen 4.6.1, sorti lundi, est signalé comme une version de maintenance, le type qui est publié à peu près tous les quatre mois et est censé inclure tous les correctifs de bogues et de sécurité publiés entre-temps.

"En raison de deux oublis, les correctifs pour XSA-155 et XSA-162 n'ont été que partiellement appliqués à cette version", a noté le projet Xen dans un article de blog. Il en va de même pour Xen 4.4.4, la version de maintenance de la branche 4.4 publiée le 28 janvier, selon le projet..

Les utilisateurs soucieux de la sécurité sont susceptibles d'appliquer des correctifs Xen aux installations existantes au fur et à mesure de leur disponibilité et n'attendent pas les versions de maintenance. Cependant, les nouveaux déploiements Xen seraient probablement basés sur les dernières versions disponibles, qui contiennent actuellement des correctifs incomplets pour deux vulnérabilités de sécurité connues et documentées..

XSA-162 et XSA-155 font référence à deux vulnérabilités pour lesquelles des correctifs ont été publiés respectivement en novembre et décembre.

XSA-162, également suivi comme CVE-2015-7504, est une vulnérabilité de QEMU, un logiciel de virtualisation open source utilisé par Xen. Plus précisément, la faille est une condition de dépassement de tampon dans la virtualisation par QEMU des périphériques réseau AMD PCnet. S'il est exploité, il pourrait permettre à un utilisateur d'un système d'exploitation invité ayant accès à un adaptateur PCnet virtualisé d'élever ses privilèges à ceux du processus QEMU.

XSA-155, ou CVE-2015-8550, est une vulnérabilité des pilotes paravirtualisés de Xen. Les administrateurs du système d'exploitation invité pourraient exploiter la faille pour bloquer l'hôte ou exécuter du code arbitraire avec des privilèges plus élevés.

"En résumé, une simple déclaration de commutateur fonctionnant sur la mémoire partagée est compilée dans un double fetch vulnérable qui permet l'exécution de code potentiellement arbitraire sur le domaine de gestion Xen", a déclaré Felix Wilhelm, le chercheur qui a trouvé la faille, dans un article de blog en décembre..

Rejoignez les communautés Network World sur Facebook et LinkedIn pour commenter des sujets qui vous tiennent à cœur.