Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

05/12/2014

Múltiples vulnerabilidades en XenServer de Citrix

Se han detectado una serie de vulnerabilidades en XenServer de Citrix. Su explotación puede permitir la escalada de privilegios en un HVM.

Se han reservado las siguientes vulnerabilidades:

• CVE-2014-8595 (Alta): Falta de comprobación de privilegios en la emulación de x86.
• CVE-2014-8866 (Media): Excesivas comprobaciones en la traducción de los argumentos de compatibilidad del modo "hypercall".
• CVE-2014-8867 (Media): Limites insuficiente en "REP MOVS" en el MMIO emulado dentro del hypervisor.
• CVE-2014-1666 (Baja): PHYSDEVOP_{prepare,release}_msix expuesto a usuarios sin privilegios.

Sistemas Afectados:

• XenServer 6.1.0
• XenServer 6.0.2
• XenServer 6.0
• XenServer 6.2.0

Referencias:

CVE-2014-8595,CVE-2014-8866,CVE-2014-8867,CVE-2014-1666

Solución:

Citrix recomienda a sus clientes afectados que instalen los parches desarrollados a tal efecto y que se pueden descargar de:

• Citrix XenServer 6.2 Service Pack 1: CTX141717
• Citrix XenServer 6.1: CTX141718
• Citrix XenServer 6.0.2: CTX141720
• Citrix XenServer 6.0.2 con la configuración Common Criteria: CTX141719
• Citrix XenServer 6.0.0: CTX141721

Notas:

• Citrix XenServer Multiple Security Updates 

CSIRT-CV