2015-0691: QEMU, KVM, Xen: Eine Schwachstelle ermöglicht die Eskalation von Privilegien

Historie:

Version 1 (2015-05-13 19:10)

Neues Advisory

Version 2 (2015-05-15 13:49)

Citrix informiert darüber, dass die Analysen zur Betroffenheit der Citrix XenServer derzeit stattfinden. Sobald Ergebnisse der Analysen vorliegen, werden diese über das referenzierte Advisory veröffentlicht. IBM veröffentlicht ebenfalls eine Information zu der Schwachstelle, benennt derzeit noch keine Produkte als betroffen und empfiehlt ein aktives Überprüfen des IBM Support Portals und der referenzierten Webseite, um über die Verfügbarkeit von Sicherheitsupdates zeitnah informiert zu sein. Für die Distribution Fedora 22 stehen Sicherheitsupdates für Xen und QEMU in Form der Pakete xen-4.5.0-9.fc22 bzw. qemu-2.3.0-4.fc22 im Status 'testing' zur Verfügung.

Version 3 (2015-05-15 18:11)

Für Fedora 20 und 21 werden Sicherheitsupdates für Xen und QEMU auf xen-4.3.4-4.fc20, xen-4.4.2-4.fc21, qemu-1.6.2-14.fc20 und qemu-2.1.3-7.fc21 im Status 'testing' bereitgestellt.

Version 4 (2015-05-18 12:45)

Red Hat stellt für Red Hat Enterprise Virtualization 3 ein Sicherheitsupdate bereit. Oracle stellt für Kunden mit gültigem Servicekontrakt Sicherheitsupdates für Oracle Linux 5, 6 und 7, Oracle VM Version 2.2, 3.2 und 3.3 sowie Oracle VM VirtualBox Version 3.2, 4.0, 4.1, 4.2 und 4.3 vor Version 4.3.28 zur Verfügung. SUSE veröffentlicht für SUSE Linux Enterprise Server 11 SP3 und Desktop 11 SP3 Sicherheitsupdates.

Version 5 (2015-05-18 17:53)

openSUSE veröffentlicht für die Distributionen openSUSE 13.1 und openSUSE 13.2 Sicherheitsupdates.

Version 6 (2015-05-19 12:38)

Citrix, SUSE und F5 Networks stellen neue Informationen und Updates bereit, Details finden sich im Abschnitt Beschreibung - Update 5.

Version 7 (2015-05-19 15:57)

Debian stellt für die alte stabile Distribution Wheezy ein Sicherheitsupdate für Xen zur Behebung der Schwachstelle bereit (DSA-3262-1). Für die stabile Distribution Jessie wurde die Schwachstelle zusammen mit drei anderen bereits über das QEMU-Update (DSA-3259-1) adressiert. Wenngleich die Referenz dafür bereits über eine andere Sicherheitsinformation verteilt wurde, ist sie hier jetzt nochmals enthalten.

Version 8 (2015-05-21 11:34)

F5 Networks aktualisiert das referenzierte Hersteller-Advisory und macht Aussagen über die Betroffenheit der BIG-IP Produkte, auch des Protocol Security Moduls (PSM). Die BIG-IP 11er Versionen sind dabei durchgängig von der Schwachstelle betroffen, während die 10er Versionen nicht verwundbar sind. Die 11er Versionen sind nur dann verwundbar, wenn sie als vCMP Hypervisor Host konfiguriert sind. Dieses Feature steht für BIG-IP Produkte vor Version 11.0.0 nicht zur Verfügung.

Version 9 (2015-05-26 19:13)

SUSE stellt für SUSE Linux Enterprise Server 10 SP4 LTSS, Server 11 SP1 LTSS und Server 11 SP2 LTSS Sicherheitsupdates für Xen, bzw. KVM zur Verfügung, die für SUSE Linux Enterprise Server 11 SP1/2 LTSS zusätzlich die Xen-Schwachstelle CVE-2015-3340 beheben.

Version 10 (2015-05-27 17:27)

Red Hat stellt für Red Hat Enterprise Linux 6.5 Extended Update Support Sicherheitsupdates zur Verfügung.

Version 11 (2015-05-29 11:21)

Für die Debian Distributionen Wheezy und Jessie werden Sicherheitsupdates für VirtualBox veröffentlicht.

Version 12 (2015-06-08 12:39)

Für Fedora EPEL 7 steht ein Sicherheitsupdate in Form des Paketes qemu-2.0.0-1.el7.5 im Status 'testing' bereit.

Version 13 (2015-07-10 13:16)

Juniper stellt für EX und QFX Series Geräte mit Virtualisierungsunterstützung, speziell EX4600, QFX5100 und QFX10002, Sicherheitsupdates in Form der Junos OS Versionen 13.2X51-D40 (Pending Release) und 14.1X53-D30 (Pending Release) zur Verfügung. Produkte, die keine Virtualisierungstechnologie beinhalten, wie SRX Series Gateways und ScreenOS sind nicht von der Schwachstelle betroffen.

Version 14 (2015-10-06 15:56)

F5 Networks aktualisiert die Liste der nicht verwundbaren Versionen seiner Produkte. Unter anderem steht BIG-IP Protocol Security Module (PSM) Version 11.4.1 HF9 als Sicherheitsupdate zur Verfügung.

Betroffene Software

Netzwerk
Systemsoftware
Virtualisierung

Betroffene Plattformen

Netzwerk
Juniper
Linux
Oracle
Virtualisierung

Beschreibung:

Eine Schwachstelle in QEMU ermöglicht einem privilegierten Gast-Benutzer, der Zugriffsrechte auf ein virtuelles Floppy Disk-Gerät besitzt, das Gast-System abstürzen zu lassen oder nach Übernahme des QEMU-Prozesses möglicherweise beliebigen Programmcode mit den Rechten des QEMU-Prozesses des Host-Systems auszuführen.

Red Hat stellt für verschiedene Produkte von Red Hat Enterprise Linux 5, 6 und 7 Sicherheitsupdates zur Verfügung. Xen veröffentlicht Sicherheitsupdates für die Versionen 4.2.x, 4.3.x, 4.4.x und 4.5.x.

Update 1: Citrix informiert darüber, dass die Analysen zur Betroffenheit der Citrix XenServer derzeit stattfinden. Sobald Ergebnisse der Analysen vorliegen, werden diese über das referenzierte Advisory veröffentlicht.
IBM veröffentlicht ebenfalls eine Information zu der Schwachstelle, benennt derzeit noch keine Produkte als betroffen und empfiehlt ein aktives Überprüfen des IBM Support Portals und der referenzierten Webseite, um über die Verfügbarkeit von Sicherheitsupdates zeitnah informiert zu sein.
Für die Distribution Fedora 22 stehen Sicherheitsupdates für Xen und QEMU in Form der Pakete xen-4.5.0-9.fc22 bzw. qemu-2.3.0-4.fc22 im Status 'testing' zur Verfügung.

Update 2: Für Fedora 20 und 21 werden Sicherheitsupdates für Xen und QEMU auf xen-4.3.4-4.fc20, xen-4.4.2-4.fc21, qemu-1.6.2-14.fc20 und qemu-2.1.3-7.fc21 im Status 'testing' bereitgestellt.

Update 3: Red Hat stellt für Red Hat Enterprise Virtualization 3 ein Sicherheitsupdate bereit. Oracle stellt für Kunden mit gültigem Servicekontrakt Sicherheitsupdates für Oracle Linux 5, 6 und 7, Oracle VM Version 2.2, 3.2 und 3.3 sowie Oracle VM VirtualBox Version 3.2, 4.0, 4.1, 4.2 und 4.3 vor Version 4.3.28 zur Verfügung. SUSE veröffentlicht für SUSE Linux Enterprise Server 11 SP3 und Desktop 11 SP3 Sicherheitsupdates.

Update 4: openSUSE veröffentlicht für die Distributionen openSUSE 13.1 und openSUSE 13.2 Sicherheitsupdates.

Update 5: Citrix stellt über die bereits veröffentlichte Referenz neue Informationen und jetzt auch Sicherheitsupdates zur Verfügung. Die durchgeführten Analysen haben ergeben, dass alle derzeit unterstützten Versionen des Citrix XenServers von der Schwachstelle betroffen sind. Konkret sind das XenServer 6.5, 6.5 Service Pack 1, 6.2 Service Pack 1, 6.1, 6.0.2, 6.0 sowie die nach Common Criteria zertifizierte Version XenServer 6.0.2. Citrix stellt für alle Versionen Sicherheitsupdates bereit und empfiehlt dringend diese Updates so schnell wie möglich zu installieren.
SUSE stellt für SUSE Linux Enterprise Server 12 und Desktop 12 Sicherheitsupdates bereit, die zusätzlich die Denial-of-Service-Schwachstelle CVE-2015-1779 beheben.
F5 Networks veröffentlicht erste Informationen zu der Betroffenheit der F5 Produkte, für die BIG-IP Produktlinie liegen derzeit jedoch noch keine Analyseergebnisse vor.

Update 6: Debian stellt für die alte stabile Distribution Wheezy ein Sicherheitsupdate für Xen zur Behebung der Schwachstelle bereit (DSA-3262-1). Für die stabile Distribution Jessie wurde die Schwachstelle zusammen mit drei anderen bereits über das QEMU-Update (DSA-3259-1) adressiert. Wenngleich die Referenz dafür bereits über eine andere Sicherheitsinformation verteilt wurde, ist sie hier jetzt nochmals enthalten.

Update 7: F5 Networks aktualisiert das referenzierte Hersteller-Advisory und macht Aussagen über die Betroffenheit der BIG-IP Produkte, auch des Protocol Security Moduls (PSM). Die BIG-IP 11er Versionen sind dabei durchgängig von der Schwachstelle betroffen, während die 10er Versionen nicht verwundbar sind. Die 11er Versionen sind nur dann verwundbar, wenn sie als vCMP Hypervisor Host konfiguriert sind. Dieses Feature steht für BIG-IP Produkte vor Version 11.0.0 nicht zur Verfügung.

Update 8: SUSE stellt für SUSE Linux Enterprise Server 10 SP4 LTSS, Server 11 SP1 LTSS und Server 11 SP2 LTSS Sicherheitsupdates für Xen, bzw. KVM zur Verfügung, die für SUSE Linux Enterprise Server 11 SP1/2 LTSS zusätzlich die Xen-Schwachstelle CVE-2015-3340 beheben.

Update 9: Red Hat stellt für Red Hat Enterprise Linux 6.5 Extended Update Support Sicherheitsupdates zur Verfügung.

Update 10: Für die Debian Distributionen Wheezy und Jessie werden Sicherheitsupdates für VirtualBox veröffentlicht.

Update 11: Für Fedora EPEL 7 steht ein Sicherheitsupdate in Form des Paketes qemu-2.0.0-1.el7.5 im Status 'testing' bereit.

Update 12: Juniper stellt für EX und QFX Series Geräte mit Virtualisierungsunterstützung, speziell EX4600, QFX5100 und QFX10002, Sicherheitsupdates in Form der Junos OS Versionen 13.2X51-D40 (Pending Release) und 14.1X53-D30 (Pending Release) zur Verfügung. Produkte, die keine Virtualisierungstechnologie beinhalten, wie SRX Series Gateways und ScreenOS sind nicht von der Schwachstelle betroffen.

Update 13: F5 Networks aktualisiert die Liste der nicht verwundbaren Versionen seiner Produkte. Unter anderem steht BIG-IP Protocol Security Module (PSM) Version 11.4.1 HF9 als Sicherheitsupdate zur Verfügung.

Schwachstellen:

CVE-2015-3456

Speicherüberlauf-Schwachstelle in QEMU ermöglicht Privilegieneskalation

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.