低危 Xen 'qemu-nbd'工具本地安全绕过漏洞

CVE编号

CVE-2013-1922

利用情况

暂无

补丁情况

官方补丁

披露时间

2013-05-14

漏洞描述

Xen是一款开放源代码的虚拟机。qemu-nbd (qemu-nbd-xen)工具用于自动检测映像格式。 Xen存在本地安全绕过漏洞。攻击者可以利用漏洞绕过某些安全限制并访问的主机系统中的任意文件。

解决建议

用户可参考如下厂商提供的补丁程序：http://seclists.org/oss-sec/2013/q2/att-15/xsa48-4_2.patchhttp://seclists.org/oss-sec/2013/q2/att-15/xsa48-unstable.patch

参考链接
http://lists.fedoraproject.org/pipermail/package-announce/2013-April/103621.html
http://lists.fedoraproject.org/pipermail/package-announce/2013-April/103637.html
http://lists.fedoraproject.org/pipermail/package-announce/2013-April/104036.html
http://secunia.com/advisories/55082
http://security.gentoo.org/glsa/glsa-201309-24.xml
http://www.openwall.com/lists/oss-security/2013/04/15/3
http://www.openwall.com/lists/oss-security/2013/04/16/2
http://www.securitytracker.com/id/1028426

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	系统	debian_10	qemu	*		Up to (excluding) 4.11.4+107-gef32c7afa2-1
	运行在以下环境
	系统	debian_11	qemu	*		Up to (excluding) 4.14.6-1
	运行在以下环境
	系统	debian_12	qemu	*		Up to (excluding) 4.17.1+2-gb773c48e36-1
	运行在以下环境
	系统	debian_sid	qemu	*		Up to (excluding) 4.17.2+55-g0b56bed864-1
	运行在以下环境
	系统	suse_12	xen	*		Up to (excluding) 4.4.1_06-2
	运行在以下环境
	系统	ubuntu_14.04.6_lts	qemu	*		Up to (excluding) 1.5.0+dfsg-3ubuntu2
	运行在以下环境
	系统	ubuntu_16.04.7_lts	qemu	*		Up to (excluding) 1.5.0+dfsg-3ubuntu2
	运行在以下环境
	系统	xen	xen	4.2.0	-
	运行在以下环境
	系统	xen	xen	4.2.1	-
	运行在以下环境
	系统	xen	xen	4.2.2	-

阿里云评分 2.3

• 攻击路径 本地
• 攻击复杂度 困难
• 权限要求 普通权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 -

CWE-ID	漏洞类型
CWE-264	权限、特权和访问控制

Exp相关链接

- avd.aliyun.com