Fecha del reporte: 23 de dic de 2009

Paquetes afectados: kvm

Más información: múltiples vulnerabilidades han sido descubiertas en kvm, un completa sistema de virtualización. El proyecto Common Vulnerabilities and Exposures identifica los siguientes problemas:

• CVE-2009-3638: Ha sido descubierto un desbordamiento integro en la función kvm_dev_ioctl_get_supported_cpuid. Esto permite a usuarios locales tener un impacto no especificado vía una petición KVM_GET_SUPPORTED_CPUID a la función kvm_arch_dev_ioctl.

• CVE-2009-3722: Ha sido descubierto que la función handle_dr en el sub-sistema KVM no verifica propiamente en actual nivel de privilegio (CPL) antes de acceder al registro de depuración, lo que permite a usuarios de sistemas huespedes causar una denegación de servicio (trap) en el sistema anfitrión vía una aplicación elaborada.

• CVE-2009-4031: Ha sido descubierto que la función do_insn_fetch function en el emulador x86 en el subsistema KVM intenta interpretar instrucciones que contienen demasiados bytes para ser validas, lo que permite a usuarios en sistemas huespedes causar una denegación de servicio (increased scheduling latency) en el sistema anfitrión vía una manipulación no especificada relacionada con el soporte SMP.

Para la distribución estable (lenny), estos problemas han sido arreglados en la versión 72+dfsg-5~lenny4.

Para la distribución de pruebas (squeeze), y la distribución inestable (sid), estos problemas serán arreglados a la brevedad.

Le recomendamos actualizar su paquete kvm.

Original (en inglés): http://lists.debian.org/debian-security-announce/2009/msg00284.html