Gli ultimi aggiornamenti dell'hypervisor di Xen mancano alcune patch di sicurezza

Il progetto Xen ha rilasciato nuove versioni del suo hypervisor per macchine virtuali, ma ha dimenticato di includere completamente due patch di sicurezza precedentemente rese disponibili.

L'hypervisor Xen è ampiamente utilizzato dai provider di cloud computing e dalle società di hosting di server privati ​​virtuali.

Xen 4.6.1, rilasciato lunedì, è contrassegnato come un rilascio di manutenzione, il tipo che viene pubblicato all'incirca ogni quattro mesi e che dovrebbe includere tutti i bug e le patch di sicurezza rilasciati nel frattempo.

"A causa di due sviste, le correzioni per XSA-155 e XSA-162 sono state applicate solo parzialmente a questa versione", ha osservato il progetto Xen in un post sul blog. Lo stesso vale per Xen 4.4.4, il rilascio di manutenzione per il ramo 4.4 che è stato rilasciato il 28 gennaio, ha detto il Progetto.

È probabile che gli utenti attenti alla sicurezza applichino le patch Xen alle installazioni esistenti quando vengono rese disponibili e non attendono le versioni di manutenzione. Tuttavia, le nuove distribuzioni Xen si baseranno probabilmente sulle ultime versioni disponibili, che al momento contengono correzioni incomplete per due vulnerabilità di sicurezza note e documentate pubblicamente.

XSA-162 e XSA-155 si riferiscono a due vulnerabilità per le quali sono state rilasciate patch rispettivamente a novembre e dicembre.

XSA-162, tracciato anche come CVE-2015-7504, è una vulnerabilità di QEMU, un programma software di virtualizzazione open source utilizzato da Xen. In particolare, il difetto è una condizione di overflow del buffer nella virtualizzazione di QEMU dei dispositivi di rete AMD PCnet. Se sfruttato, potrebbe consentire a un utente di un sistema operativo guest che ha accesso a un adattatore PCnet virtualizzato di elevare i suoi privilegi a quello del processo QEMU.

XSA-155, o CVE-2015-8550, è una vulnerabilità nei driver paravirtualizzati di Xen. Gli amministratori del sistema operativo guest potrebbero sfruttare il difetto per bloccare l'host o eseguire codice arbitrario con privilegi più elevati.

"In breve, una semplice istruzione switch che opera sulla memoria condivisa viene compilata in un doppio recupero vulnerabile che consente l'esecuzione di codice potenzialmente arbitrario sul dominio di gestione Xen", ha dichiarato Felix Wilhelm, il ricercatore che ha riscontrato il difetto, in un post sul blog a dicembre.

Unisciti alle community di Network World su Facebook e LinkedIn per commentare argomenti che sono importanti.