Xen 'xc_vcpu_setaffinity()'函数缓冲区溢出漏洞

admin

0
文章

0
评论

2023-12-07 15:02:00 Ali_nvd 来源：ZONE.CI 全球网 0 阅读模式

低危 Xen 'xc_vcpu_setaffinity()'函数缓冲区溢出漏洞

CVE编号

CVE-2013-2072

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2013-08-29

漏洞描述

Xen是一个开源虚拟机监视器，由剑桥大学开发。 Xen 4.0及更高版本存在安全漏洞，如果系统允许不受信任客户端管理员配置cpu affinity masks，且系统使用了libxc Python bindings则攻击者可以利用此漏洞破坏内存，使配置特定vcpu affinity的toolstack崩溃，造成拒绝服务。也可能导致远程代码执行。此漏洞源于xc_vcpu_setaffinity调用的Python bindings没有正确检查其输入。

解决建议

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://lists.xen.org/archives/html/xen-announce

参考链接
http://lists.fedoraproject.org/pipermail/package-announce/2013-May/106718.html
http://lists.fedoraproject.org/pipermail/package-announce/2013-May/106721.html
http://lists.fedoraproject.org/pipermail/package-announce/2013-May/106778.html
http://lists.opensuse.org/opensuse-security-announce/2014-03/msg00021.html
http://www.debian.org/security/2014/dsa-3041
http://www.openwall.com/lists/oss-security/2013/05/17/2
http://www.securityfocus.com/bid/59982

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	系统	debian	debian_linux	7.0	-
	运行在以下环境
	系统	debian_10	xen	*		Up to (excluding) 4.2.2-1
	运行在以下环境
	系统	debian_11	xen	*		Up to (excluding) 4.2.2-1
	运行在以下环境
	系统	debian_12	xen	*		Up to (excluding) 4.2.2-1
	运行在以下环境
	系统	debian_7	xen	*		Up to (excluding) 4.1.4-3+deb7u3
	运行在以下环境
	系统	debian_sid	xen	*		Up to (excluding) 4.2.2-1
	运行在以下环境
	系统	suse_11	xen	*		Up to (excluding) 4.2.2_04-0.7
	运行在以下环境
	系统	ubuntu_12.04.5_lts	xen	*		Up to (excluding) 4.1.2-2ubuntu2.9
	运行在以下环境
	系统	xen	xen	4.0.0	-
	运行在以下环境
	系统	xen	xen	4.0.1	-
	运行在以下环境
	系统	xen	xen	4.0.2	-
	运行在以下环境
	系统	xen	xen	4.0.3	-
	运行在以下环境
	系统	xen	xen	4.0.4	-
	运行在以下环境
	系统	xen	xen	4.1.0	-
	运行在以下环境
	系统	xen	xen	4.1.1	-
	运行在以下环境
	系统	xen	xen	4.1.2	-
	运行在以下环境
	系统	xen	xen	4.1.3	-
	运行在以下环境
	系统	xen	xen	4.1.4	-
	运行在以下环境
	系统	xen	xen	4.1.5	-
	运行在以下环境
	系统	xen	xen	4.2.0	-
	运行在以下环境
	系统	xen	xen	4.2.1	-
	运行在以下环境
	系统	xen	xen	4.2.2	-