NVD Vulnerability Detail

CVE-2013-4355

Summary	Xen 4.3.x and earlier does not properly handle certain errors, which allows local HVM guests to obtain hypervisor stack memory via a (1) port or (2) memory mapped I/O write or (3) other unspecified operations related to addresses without associated memory.
Publication Date	Oct. 2, 2013, 2:55 a.m.
Registration Date	Jan. 26, 2021, 3:43 p.m.
Last Update	Nov. 21, 2024, 10:55 a.m.

Affected software configurations

Related information, measures and tools

No	URL	refsource	タグ
1	http://lists.opensuse.org/opensuse-security-announce/2014-03/msg00015.html
2	http://lists.opensuse.org/opensuse-security-announce/2014-03/msg00015.html
3	http://lists.opensuse.org/opensuse-security-announce/2014-03/msg00021.html
4	http://lists.opensuse.org/opensuse-security-announce/2014-03/msg00021.html
5	http://lists.opensuse.org/opensuse-security-announce/2014-04/msg00000.html
6	http://lists.opensuse.org/opensuse-security-announce/2014-04/msg00000.html
7	http://lists.opensuse.org/opensuse-updates/2013-11/msg00009.html
8	http://lists.opensuse.org/opensuse-updates/2013-11/msg00009.html
9	http://rhn.redhat.com/errata/RHSA-2013-1790.html
10	http://rhn.redhat.com/errata/RHSA-2013-1790.html
11	http://security.gentoo.org/glsa/glsa-201407-03.xml
12	http://security.gentoo.org/glsa/glsa-201407-03.xml
13	http://www.debian.org/security/2014/dsa-3006
14	http://www.debian.org/security/2014/dsa-3006
15	http://www.openwall.com/lists/oss-security/2013/09/30/1
16	http://www.openwall.com/lists/oss-security/2013/09/30/1

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-200	情報漏えい	https://cwe.mitre.org/data/definitions/200.html

JVN Vulnerability Information

Xen におけるハイパーバイザのスタックメモリを取得される脆弱性

Title	Xen におけるハイパーバイザのスタックメモリを取得される脆弱性
Summary	Xen は、特定のエラーを適切に処理しないため、ハイパーバイザのスタックメモリを取得される脆弱性が存在します。
Possible impacts	ローカルの HVM ゲストにより、(1) ポートマップド I/O 書き込み、(2) メモリマップド I/O 書き込み、または (3) 結び付くメモリのないアドレスに関連するその他の操作を介して、ハイパーバイザのスタックメモリを取得される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	Sept. 30, 2013, midnight
Registration Date	Oct. 4, 2013, 4:44 p.m.
Last Update	Feb. 18, 2014, 5:53 p.m.

Affected System

Xen プロジェクト

Xen 4.3.x およびそれ以前

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2013-4355	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4355
National Vulnerability Database (NVD)
2	CVE-2013-4355	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4355

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-200	https://jvndb.jvn.jp/ja/cwe/CWE-200.html

ベンダー情報

No	Name	URL
Red Hat Bugzilla
1	Bug 1009598	https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2013-4355
Red Hat Security Advisory
2	RHSA-2013:1790	http://rhn.redhat.com/errata/RHSA-2013-1790.html
Xen
3	Top Page	http://www.xen.org/

その他

No	Name	URL
関連文書
1	Xen Security Advisory 63 (CVE-2013-4355) - Information leaks through I/O instruction emulation	http://www.openwall.com/lists/oss-security/2013/09/30/1

Change Log

No	Changed Details	Date of change
0	[2013年10月04日] 掲載 [2014年02月18日] 対策：内容を更新ベンダ情報：レッドハット (RHSA-2013:1790) を追加	Feb. 17, 2018, 10:37 a.m.