2017-1812: Xen: Mehrere Schwachstellen ermöglichen u.a. das Eskalieren von Privilegien

Historie:

Version 1 (2017-10-13 14:25)

Neues Advisory

Version 2 (2017-10-27 15:49)

Für Oracle VM 3.2, 3.3 und 3.4 stehen Sicherheitsupdates bereit, mit denen die Schwachstellen CVE-2017-15588 (XSA-241), CVE-2017-15589 (XSA-239), CVE-2017-15590 (XSA-237), CVE-2017-15592 (XSA-243), CVE-2017-15593 (XSA-242), CVE-2017-15594 (XSA-244) und CVE-2017-15595 (XSA-240) in Xen behoben werden.

Version 3 (2017-10-27 19:08)

Für Oracle VM 3.4 steht mit Oracle VM Security Advisory OVMSA-2017-0166 erneut ein Sicherheitsupdate bereit, mit dem zusätzlich zu den Schwachstellen CVE-2017-15588 (XSA-241), CVE-2017-15589 (XSA-239), CVE-2017-15590 (XSA-237), CVE-2017-15592 (XSA-243), CVE-2017-15593 (XSA-242), CVE-2017-15594 (XSA-244) und CVE-2017-15595 (XSA-240) auch die Schwachstelle CVE-2017-15597 (XSA-236) in Xen behoben wird.

Betroffene Software

Systemsoftware
Virtualisierung

Betroffene Plattformen

Linux
Oracle
Hypervisor

Beschreibung:

Mehrere Schwachstellen in Xen ermöglichen einem einfach authentisierten Angreifer im benachbarten Netzwerk die Durchführung verschiedener Denial-of-Service (DoS)-Angriffe, das Eskalieren von Privilegien sowie das Ausspähen von Informationen.

Der Hersteller veröffentlicht die Xen Security Advisories XSA-237 - XSA-244, um über die verschiedenen Schwachstellen in Xen für Systeme mit x86- und / oder ARM-Architekturen zu informieren und stellt Patches zur Behebung der einzelnen Schwachstellen zur Verfügung. Betroffen sind alle aktuellen Versionszweige von Xen. Für ältere Versionszweige stehen keine Informationen zur Verfügung.

Für Fedora 25, 26 und 27 stehen die Pakete 'xen-4.7.3-7.fc25', 'xen-4.8.2-4.fc26' und 'xen-4.9.0-12.fc27' als Sicherheitsupdates im Status 'pending' bereit. Die Sicherheitsupdates für Fedora 25 und 26 adressieren zusätzlich die Schwachstellen CVE-2017-13672, CVE-2017-13673 und XSA-245, mit denen ein einfach authentisierter Angreifer im benachbarten Netzwerk weitere Denial-of-Service (DoS)-Angriffe durchführen bzw. Informationen ausspähen kann.

Das Paket für Fedora 25 ersetzt gleichzeitig das mit der Meldung FEDORA-2017-99bcbc7bef (Fedora 25, xen-4.7.3-6.fc25) und das Paket für Fedora 26 das mit der Meldung FEDORA-2017-213ebf97c8 (Fedora 26, xen-4.8.2-3) veröffentlichte Sicherheitsupdate, welche wir in einer gesonderten Meldung verarbeitet hatten. Für Fedora 27 behält das entsprechende Sicherheitsupdate FEDORA-2017-b4329d6ee5 (Fedora 27, xen-4.9.0-11) dagegen den Status 'stable'.

Schwachstellen:

CVE-2017-13672

Schwachstelle in Xen / QEMU ermöglicht Denial-of-Service-Angriff

CVE-2017-13673

Schwachstelle in QEMU ermöglicht Denial-of-Service-Angriff

CVE-2017-15588

Schwachstelle in Xen ermöglicht Privilegieneskalation, Denial-of-Service-Angriff und Ausspähen von Informationen

CVE-2017-15589

Schwachstelle in Xen ermöglicht Ausspähen von Informationen

CVE-2017-15590

Schwachstelle in Xen ermöglicht u. a. Denial-of-Service-Angriff

CVE-2017-15591

Schwachstelle in Xen ermöglicht Denial-of-Service-Angriff

CVE-2017-15592

Schwachstelle in Xen ermöglicht Denial-of-Service-Angriff

CVE-2017-15593

Schwachstelle in Xen ermöglicht Denial-of-Service-Angriff

CVE-2017-15594

Schwachstelle in Xen ermöglicht Denial-of-Service-Angriff und Privilegieneskalation

CVE-2017-15595

Schwachstelle in Xen ermöglicht Denial-of-Service-Angriff

CVE-2017-15597

Schwachstelle in Xen ermöglicht u. a. Denial-of-Service-Angriff

XSA-245

Schwachstelle in Xen ermöglicht Ausspähen von Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.