Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

QEMU

Betroffene Plattformen:

Citrix XenServer 6.0
Citrix XenServer 6.0.2
Citrix XenServer 6.1
Citrix XenServer 6.2
Citrix XenServer <= 6.5 Durch Ausnutzen dieser Schwachstellen kann ein entfernter, nicht authentisierter Angreifer einen Denial-of-Service (DoS)-Angriff durchführen, bzw. ein lokaler, einfach authentisierter Benutzer, als Angreifer, Informationen ausspähen oder seine Rechte erweitern. Der Hersteller teilt mit, dass von den beiden erstgenannten Schwachstellen alle Citrix XenServer bis einschließlich Version 6.5 betroffen sind, während diese höchste Version nicht für die Schwachstelle CVE-2015-8106 verwundbar ist. Patch: Citrix Security Update CTX200892 http://support.citrix.com/article/CTX200892

CVE-2014-8106: Schwachstelle in QEMU ermöglicht die Ausweitung von
Benutzerrechten

Eine Schwachstelle in QEMU im Zusammenhang mit dem Cirrus VGA Emulator führt
dazu, dass die Checks der Blit-Region nicht korrekt durchgeführt werden.
Dadurch ist es möglich in den Speicherbereich des QEMU-Prozesses auf dem
Host-System zu schreiben.

CVE-2014-7815: DoS-Schwachstelle in vnc in QEMU

Eine Schwachstelle in “vnc” in QEMU besteht in unzureichenden
“bits_per_pixel” bei der Bereinigung des Clients. Ein im benachbarten
Netzwerk befindlicher, einfach authentisierter Angreifer kann die
Schwachstelle ausnutzen, um die Verfügbarkeit des Systems komplett zu
beeinträchtigen.

CVE-2014-3615: Schwachstelle in QEMU ermöglicht das Ausspähen von
Informationen

Im VGA Emulator von QEMU besteht eine Schwachstelle, die beim Umschalten auf
höhere Bildschirmauflösungen, Speicherinhalte des Hosts an VNC-Clients
übertragen kann. Ein lokaler, einfach authentisierter Angreifer kann die
Schwachstelle zum Auslesen von Speicherinhalten ausnutzen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0539/

Schwachstelle CVE-2014-3615 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3615

Schwachstelle CVE-2014-7815 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7815

Schwachstelle CVE-2014-8106 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8106

Citrix Security Update CTX200892:
http://support.citrix.com/article/CTX200892

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.