此更新修复了 libvirt 的以下安全问题：

- bnc#857492：修复了热插拔 qemu 域的磁盘时造成的 libvirtd 崩溃 (CVE-2013-6458)

- bnc#858817：连接提前关闭时不崩溃 (CVE-2014-1447)

在 Xen 虚拟化抽象库 Libvirt 中发现多种安全问题：

- CVE-2013-6458 已发现不安全的作业使用可导致 libvirtd 拒绝服务。

- CVE-2014-1447 已发现 keepalive 处理中的争用条件可导致 libvirtd 拒绝服务。

- 衍合到 1.0.5.9 版

- 修复 virDBusAddWatch 中的崩溃 (bz #885445)

- 取消了迁移时清理迁移端口 (bz #1018530)

- CVE-2013-6458 libvirt：qemu：多个 API 中存在可导致 libvirtd 崩溃的作业使用问题（bz #1054206、bz #1048631）

- CVE-2013-6436 libvirt：lxcDomainGetMemoryParameters 中的崩溃（bz #1049136、bz #1042252）

- CVE-2014-1447：libvirt：对 keepalive 执行拒绝服务（bz 1052957、bz 1054808）

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新修复了 libvirt 的以下安全和非安全问题：

- bnc#857492：修复了热插拔 qemu 域的磁盘时造成的 libvirtd 崩溃 (CVE-2013-6458)

- bnc#858817：连接提前关闭时不崩溃 (CVE-2014-1447)

- bnc#858824：避免在调用不活动 Xen libxl 域上的“virsh numatune”时造成 libvirtd 崩溃 (CVE-2013-6457)

- bnc#859051：按 domain:getattr ACL 过滤全局事件 (CVE-2014-0028)

- bnc#817407：向 libvirtd AppArmor 配置文件添加 CAP_SYS_PACCT 功能

- bnc#859041：按照上游模式，引入 daemon-config-network 子程序包以处理默认网络定义

- bnc#857271：修复仿真 NIC 的初始化

- bnc#857271：修复在创建域失败时 libxl 驱动程序中潜在的段错误

更新后的 libvirt 程序包修复了两个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

libvirt 库是一款 C API，用于管理并交互 Linux 和其他操作系统的虚拟化功能。此外，libvirt 还提供用于远程管理虚拟化系统的工具。

在多个 libvirt 区块 API 处理域作业的方式中发现一个释放后使用缺陷。能够建立到 libvirtd 的只读连接的远程攻击者可利用此缺陷导致 libvirtd 崩溃，或可能以 libvirtd 进程的权限（通常为根权限）执行任意代码。(CVE-2013-6458)

当在建立连接凭据之前关闭连接，在 libvirtd 处理 keepalive 初始化请求的方式中发现争用条件。能够建立到 libvirtd 的只读连接的攻击者可利用此缺陷导致 libvirtd 崩溃，从而引起拒绝服务。(CVE-2014-1447)

此更新还修复以下缺陷：

* 启动虚拟机（客户机代理已经配置）的线程（常规启动或在迁移过程中）与终止 VM 进程（或进程崩溃）的线程之间，可能存在争用条件。该争用可导致终止 VM 进程的线程释放监控对象，而该监控对象稍后将由尝试启动 VM 的线程进行评估，从而导致崩溃。
在尝试与客户机代理建立连接之后，通过检查 VM 的状态修复该问题；如果该 VM 同时退出，则不会尝试进行任何其他操作。(BZ#1055578)

建议所有 libvirt 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，libvirtd 将自动重新启动。

来自 Red Hat 安全公告 2014:0103：

更新后的 libvirt 程序包修复了两个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

libvirt 库是一款 C API，用于管理并交互 Linux 和其他操作系统的虚拟化功能。此外，libvirt 还提供用于远程管理虚拟化系统的工具。

在多个 libvirt 区块 API 处理域作业的方式中发现一个释放后使用缺陷。能够建立到 libvirtd 的只读连接的远程攻击者可利用此缺陷导致 libvirtd 崩溃，或可能以 libvirtd 进程的权限（通常为根权限）执行任意代码。(CVE-2013-6458)

当在建立连接凭据之前关闭连接，在 libvirtd 处理 keepalive 初始化请求的方式中发现争用条件。能够建立到 libvirtd 的只读连接的攻击者可利用此缺陷导致 libvirtd 崩溃，从而引起拒绝服务。(CVE-2014-1447)

此更新还修复以下缺陷：

* 启动虚拟机（客户机代理已经配置）的线程（常规启动或在迁移过程中）与终止 VM 进程（或进程崩溃）的线程之间，可能存在争用条件。该争用可导致终止 VM 进程的线程释放监控对象，而该监控对象稍后将由尝试启动 VM 的线程进行评估，从而导致崩溃。
在尝试与客户机代理建立连接之后，通过检查 VM 的状态修复该问题；如果该 VM 同时退出，则不会尝试进行任何其他操作。(BZ#1055578)

建议所有 libvirt 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，libvirtd 将自动重新启动。

远程主机受到 GLSA-201412-04 中所述漏洞的影响（libvirt：多个漏洞）

    已在 libvirt 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可能可以造成拒绝服务或者导致信息泄漏。本地攻击者可能可以提升权限、造成拒绝服务或者可能执行任意代码。
  变通方案：

    目前无任何已知的变通方案。

此更新修复了 libvirt 下面的一个非安全问题和两个安全问题：

- 修复 Broadcom 57810 NIC 对客户机操作系统的设备分配问题。(bnc#817407)

- 多个 API 中可造成 libvirtd 崩溃的 qemu 作业使用问题。(CVE-2013-6458)。(bnc#857492)

- keepalive 的拒绝服务 (CVE-2014-1447)。
 (bnc#858817)

在多个 libvirt 区块 API 处理域作业的方式中发现一个释放后使用缺陷。能够建立到 libvirtd 的只读连接的远程攻击者可利用此缺陷导致 libvirtd 崩溃，或可能以 libvirtd 进程的权限（通常为根权限）执行任意代码。(CVE-2013-6458)

当在建立连接凭据之前关闭连接，在 libvirtd 处理 keepalive 初始化请求的方式中发现争用条件。能够与 libvirtd 建立只读连接的攻击者可利用此缺陷使 libvirtd 崩溃，从而导致拒绝服务。(CVE-2014-1447)

此更新还修复以下缺陷：

- 启动虚拟机（客户机代理已经配置）的线程（常规启动或在迁移过程中）与终止 VM 进程（或进程崩溃）的线程之间，可能存在争用条件。该争用可导致终止 VM 进程的线程释放监控对象，而该监控对象稍后将由尝试启动 VM 的线程进行评估，从而导致崩溃。在尝试与客户机代理建立连接之后，通过检查 VM 的状态修复该问题；如果该 VM 同时退出，则不会尝试进行任何其他操作。

安装更新后的程序包后，libvirtd 将自动重新启动。

Martin Kletzander 发现 libvirt 未正确处理从 LXC 客户机读取内存可调参数。本地用户可能利用此缺陷造成 libvirtd 崩溃，从而导致拒绝服务。
此问题只影响 Ubuntu 13.10。(CVE-2013-6436)

Dario Faggioli 发现 libvirt 未正确处理 libxl 驱动程序。本地用户可能利用此缺陷造成 libvirtd 崩溃，从而导致拒绝服务或者可能执行任意代码。此问题只影响 Ubuntu 13.10。(CVE-2013-6457)

已发现处理块设备时，libvirt 中包含多个争用条件。远程只读用户可利用此缺陷来造成 libvirtd 崩溃，从而导致拒绝服务。
(CVE-2013-6458)

Eric Blake 发现 libvirt 未正确处理某些 ACL。
攻击者利用此缺陷可能获取某些敏感信息。此问题只影响 Ubuntu 13.10。(CVE-2014-0028)

Jiri Denemark 发现 libvirt 未正确处理 keepalive。
远程攻击者可能利用此缺陷造成 libvirtd 崩溃，从而导致拒绝服务。(CVE-2014-1447)。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
75263	openSUSE 安全更新：libvirt (openSUSE-SU-2014:0270-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
72011	Debian DSA-2846-1：libvirt - 多个漏洞：	Nessus	Debian Local Security Checks	2014/1/20	2021/1/11	medium
72137	Fedora 19：libvirt-1.0.5.9-1.fc19 (2014-1090)	Nessus	Fedora Local Security Checks	2014/1/27	2021/1/11	medium
75266	openSUSE 安全更新：libvirt (openSUSE-SU-2014:0268-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
72205	CentOS 6：libvirt (CESA-2014:0103)	Nessus	CentOS Local Security Checks	2014/1/30	2021/1/4	medium
72195	Oracle Linux 6：libvirt (ELSA-2014-0103)	Nessus	Oracle Linux Local Security Checks	2014/1/29	2021/1/14	medium
72196	RHEL 6：libvirt (RHSA-2014:0103)	Nessus	Red Hat Local Security Checks	2014/1/29	2021/1/14	medium
79814	GLSA-201412-04 : libvirt：多个漏洞	Nessus	Gentoo Local Security Checks	2014/12/9	2021/1/6	high
72769	SuSE 11.3 安全更新：libvirt（SAT 修补程序编号 8886）	Nessus	SuSE Local Security Checks	2014/3/3	2021/1/19	medium
72197	Scientific Linux 安全更新：SL6.x (i386/x86_64) 中的 libvirt	Nessus	Scientific Linux Local Security Checks	2014/1/29	2021/1/14	medium
72232	Ubuntu 12.04 LTS / 12.10 / 13.10：libvirt 漏洞 (USN-2093-1)	Nessus	Ubuntu Local Security Checks	2014/1/31	2021/1/19	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

high

medium

medium

medium