NVD Vulnerability Detail

CVE-2013-1922

Summary	qemu-nbd in QEMU, as used in Xen 4.2.x, determines the format of a raw disk image based on the header, which allows local guest OS administrators to read arbitrary files on the host by modifying the header to identify a different format, which is used when the guest is restarted, a different vulnerability than CVE-2008-2004.
Publication Date	May 14, 2013, 8:55 a.m.
Registration Date	Jan. 26, 2021, 3:37 p.m.
Last Update	Nov. 21, 2024, 10:50 a.m.

Affected software configurations

Related information, measures and tools

No	URL	refsource	タグ
1	http://lists.fedoraproject.org/pipermail/package-announce/2013-April/103621.html
2	http://lists.fedoraproject.org/pipermail/package-announce/2013-April/103621.html
3	http://lists.fedoraproject.org/pipermail/package-announce/2013-April/103637.html
4	http://lists.fedoraproject.org/pipermail/package-announce/2013-April/103637.html
5	http://lists.fedoraproject.org/pipermail/package-announce/2013-April/104036.html
6	http://lists.fedoraproject.org/pipermail/package-announce/2013-April/104036.html
7	http://secunia.com/advisories/55082
8	http://secunia.com/advisories/55082
9	http://security.gentoo.org/glsa/glsa-201309-24.xml
10	http://security.gentoo.org/glsa/glsa-201309-24.xml
11	http://www.openwall.com/lists/oss-security/2013/04/15/3
12	http://www.openwall.com/lists/oss-security/2013/04/15/3
13	http://www.openwall.com/lists/oss-security/2013/04/16/2
14	http://www.openwall.com/lists/oss-security/2013/04/16/2
15	http://www.securitytracker.com/id/1028426
16	http://www.securitytracker.com/id/1028426

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-264	認可・権限・アクセス制御	https://cwe.mitre.org/data/definitions/264.html

JVN Vulnerability Information

Xen で使用される QEMU の qemu-nbd における任意のファイルを読まれる脆弱性

Title	Xen で使用される QEMU の qemu-nbd における任意のファイルを読まれる脆弱性
Summary	Xen で使用される QEMU の qemu-nbd は、ヘッダに基づいて raw ディスクイメージのフォーマットを決定するため、ホスト上の任意のファイルを読まれる脆弱性が存在します。本脆弱性は、CVE-2008-2004 とは異なる脆弱性です。
Possible impacts	ローカルのゲスト OS 管理者により、フォーマットを指定するヘッダの内容を異なるフォーマットに変更され、ゲストを再起動されることで、ホスト上の任意のファイルを読まれる可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	April 15, 2013, midnight
Registration Date	May 15, 2013, 4:48 p.m.
Last Update	Dec. 5, 2013, 1:45 p.m.

Affected System

Xen プロジェクト

Xen 4.2.x

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2013-1922	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1922
National Vulnerability Database (NVD)
2	CVE-2013-1922	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-1922

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-264	https://jvndb.jvn.jp/ja/cwe/CWE-264.html

ベンダー情報

No	Name	URL
Fedora Update Notification
1	FEDORA-2013-6185	http://lists.fedoraproject.org/pipermail/package-announce/2013-April/103621.html
2	FEDORA-2013-6211	http://lists.fedoraproject.org/pipermail/package-announce/2013-April/104036.html
3	FEDORA-2013-6221	http://lists.fedoraproject.org/pipermail/package-announce/2013-April/103637.html
Gentoo Linux Security Advisory
4	GLSA 201309-24	http://security.gentoo.org/glsa/glsa-201309-24.xml
Security Announcements
5	XSA 48 qemu-nbd format-guessing due to missing format specification	http://wiki.xen.org/wiki/Security_Announcements#XSA_48_qemu-nbd_format-guessing_due_to_missing_format_specification
Xen-announce
6	Xen Security Advisory 48 (CVE-2013-1922) - qemu-nbd format-guessing due to missing format specification	http://lists.xen.org/archives/html/xen-announce/2013-04/msg00001.html

Change Log

No	Changed Details	Date of change
0	[2013年05月15日] 掲載 [2013年11月08日] ベンダ情報：Gentoo Linux (GLSA 201309-24) を追加 [2013年12月05日] ベンダ情報：Fedora Project (FEDORA-2013-6185) を追加ベンダ情報：Fedora Project (FEDORA-2013-6221) を追加	Feb. 17, 2018, 10:37 a.m.