Vulnérabilités dans Xen

Date de publication :

CVE-2022-26356[Score CVSS v3.1: 5.6]
Une faille dans la fonction XEN_DMOP_track_dirty_vram du composant VRAM Tracking Handler permet à un attaquant de provoquer un déni de service.

CVE-2022-26357[Score CVSS v3.1: 7.0]
Une faille dans le composant VT-d Domain ID Cleanup permet à un attaquant de provoquer un déni de service.

CVE-2022-26358[Score CVSS v3.1: 7.8]
Une faille dans le composant PCI Device Handler permet à un attaquant de provoquer un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Déni de service

Criticité

  • Score CVSS v3.1: 7.1 max

La faille est activement exploitée

  • Non, pour l’ensemble des vulnérabilités.

Un correctif existe

  • Oui, pour l’ensemble des vulnérabilités.

Une mesure de contournement existe

  • Oui, pour l’ensemble des vulnérabilités.

Les vulnérabilités exploitées sont du type

Pour l’ensemble des vulnérabilités

Détails sur l’exploitation

Pour les CVE-2022-26356 et CVE-2022-26357

  • Vecteur d’attaque : Local.
  • Complexité de l’attaque : Élevé.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-26358

  • Vecteur d’attaque : Local.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour l’ensemble des vulnérabilités

Toutes les versions de Xen sont affectées par ces vulnérabilités.

Solutions ou recommandations

Pour la CVE-2022-26358

Appliquer les correctifs publiés par Xen, disponibles ici.

Pour la CVE-2022-26356

Appliquer les correctifs publiés par Xen, disponibles ici.

Pour la CVE-2022-26357

Appliquer les correctifs publiés par Xen, disponibles ici.

Liens