Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (01.10.2014):
Canonical stellt für Ubuntu 10.04 LTS, Ubuntu 12.04 LTS und Ubuntu 14.04
LTS Sicherheitsupdates bereit. Zusätzlich zu den beiden bereits genannten
Schwachstellen, wird die CVE-2014-5177 referenziert, die von der
CVE-2014-0179 abgespalten wurde, da sie sich im Angriffsvektor und den
betroffenen Versionen unterscheiden.
Version 1 (30.09.2014):
Neues Advisory

Betroffene Software:

RedHat libvirt <= 1.2.4 Betroffene Plattformen: Canonical Ubuntu Linux 10.04 Lts Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 14.04 Lts Debian Linux 7.6 Wheezy Durch mehrere Schwachstellen in libvrt kann ein im benachbarten Netzwerk befindlicher, nicht authentifizierter Angreifer Informationen ausspähen oder Denial-of-Service-Angriffe durchführen. Patch: Debian Security Advisory DSA-3038-1 https://www.debian.org/security/2014/dsa-3038

Patch:

Ubuntu Security Notice USN-2366-1

http://www.ubuntu.com/usn/usn-2366-1/

CVE-2014-5177: Schwachstelle in libvirt ermöglich das Ausspähen von
Informationen

Bei der Verarbeitung von XML-Dokumenten in libvirt bis Version 1.2.4
einschließlich existiert eine XML External Entity (XXE)-Schwachstelle. Durch
ein manipuliertes XML-Dokument, welches eine XML External Entity Deklaration
in Verbindung mit einer Referenz auf die (1) virDomainDefineXML, (2)
virNetworkCreateXML, (3) virNetworkDefineXML, (4) virStoragePoolCreateXML,
(5) virStoragePoolDefineXML, (6) virStorageVolCreateXML, (7)
virDomainCreateXML, (8) virNodeDeviceCreateXML, (9) virInterfaceDefineXML,
(10) virStorageVolCreateXMLFrom, (11) virConnectDomainXMLFromNative, (12)
virConnectDomainXMLToNative, (13) virSecretDefineXML, (14)
virNWFilterDefineXML, (15) virDomainSnapshotCreateXML, (16)
virDomainSaveImageDefineXML, (17) virDomainCreateXMLWithFiles, (18)
virConnectCompareCPU oder (19) virConnectBaselineCPU API Methode enthält,
kann ein lokaler Angreifer beliebige Dateien lesen. Diese Schwachstelle
wurde von der Schwachstelle CVE-2014-0179 aufgrund von Unterschieden in den
betroffenen Versionen und den Angriffsvektoren abgespalten.

CVE-2014-3633: Schwachstelle in libvirt ermöglicht das Ausspähen von
Informationen

Es existiert eine Schwachstelle in der QEMU Implementation von
virDomainGetBlockIoTune in libvirt. Diese berechnet einen Index in das Array
der Festplatten für die Live-Definition. Danach benutzt es den Index des
Arrays für die Persistent-Definition. Dies kann zu einem
Out-of-bounds-Lesezugriff in qemuDomainGetBlockIoTune führen. Ein nicht
authentifizierter, sich im benachbarten Netzwerk befindlicher Angreifer kann
Informationen ausspähen oder Denial-of-Service-Angriffe durchführen.

CVE-2014-0179: Schwachstelle in libvirt

Bei der Verarbeitung von XML-Dokumenten übergibt libvirt als Option
“XML_PARSE_NOENT”, womit libxml2 angewiesen wird, externe Entitäten zu
substituieren. Es ist möglich, libvirt ein XML-Dokument zu übergeben, das
beliebige Dateien auf dem Wirtsystem referenziert, deren Inhalte durch
libvirt eingelesen und in das Dokument eingebunden werden. Ein im
benachbarten Netzwerk befindlicher Angreifer innerhalb eines Gastsystems
kann diese Schwachstelle gegen das Wirtsystem ausnutzen, um Informationen
auszuspähen oder einen Denial-of-Service-Zustand herbei zu führen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1272/

Schwachstelle CVE-2014-0179 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0179

Schwachstelle CVE-2014-5177 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5177

Debian Security Advisory DSA-3038-1:
https://www.debian.org/security/2014/dsa-3038

Schwachstelle CVE-2014-3633 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3633

Ubuntu Security Notice USN-2366-1:
http://www.ubuntu.com/usn/usn-2366-1/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.