Albisteak

XenServer eta Citrix Virtual Apps/Desktops-eko Segurtasun Ahultasunak

Argitalpen-data: 

Laburpen exekutiboa

2 ahultasun larritasun ertainekoak identifikatu dira AMD prozesadore batzuetan, ustiatu ezkero, informazio sentikor eta pribilegiodunaren irazketa ahalbidetu lezaketenak L1D cache-aren eta aurreko biltegiratzen datuak inferituz. Bi mehatxuek planifikazio zuhurra behar dute haien arintzeko. Bestalde, ahultasun bat dago Windows Virtual Delivery Agent-en CVAD eta Citrix DaaS-entzat, pribilegioio txikiak dituen norbaiti SYSTEM pribilegioak lortzea ahalbideratuko liokeenak, eta horrek mehatxu esanguratsua suposatzen du.

Eragindako baliabideak

  • AMD CPUs (ez da aipatu bertsio zehatzik)
  • XenServer 8.4
  • Windows Virtual Delivery Agent for single-session OS used by Citrix Virtual Apps and Desktops (2503 baino lehenagoko bertsioak)
  • Citrix Virtual Apps and Desktops 2402 LTSR CU2 eta 2402 LTSR-ko lehenagoko bertsioak
  • Virtual Delivery Agent for Windows used by Citrix Virtual Apps and Desktops and Citrix DaaS (CVE-2025-6759-ren eragina)
  • Citrix Virtual Apps and Desktops 2503 eta geroagoko bertsioak (konponketa ondorengo bertsioak)
  • Citrix Virtual Apps and Desktops 2402 LTSR CU1 Update 1 eta CU2 Update 1, geroagoko bertsio metatua (konponketa ondorengo bertsioak)

Azterketa teknikoa

  • CVE-2025-6759: Pribilegioen eskalada lokalak pribilegio txikiko erabiltzaile bati SYSTEM pribilegioak lortzeko aukera ematen dio Windows Virtual Delivery Agent-en CVAD eta Citrix DaaS-erako.
    • CWE-269
    • CVSS: 7.4 (handia)
    • CVSS bektorea: CVSS:4.0/AV:L/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H
    • Explotazioa: Ez da detektatu
  • CVE-2024-36357: AMD prozesadore batzuetan exekuzio transitorio baten ahultasuna atakatzaile bati aukera ematen dio L1D cache-ko datuak ondorioztatzeko, honek informazio sentikorra iragartzeko aukera ematen du pribilegio mugen bidez.
    • CWE N/A
    • CVSS: 5.6 (ertaina)
    • CVSS bektorea: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N
    • Explotazioa: Ez da detektatu
  • CVE-2024-36350: AMD prozesadore batzuetan exekuzio transitorio baten ahultasuna atakatzaile bati aukera ematen dio aurreko biltegiratzeetako datuak ondorioztatzeko, honek pribilegiozko informazioa iragartzeko aukera ematen du.
    • CWE N/A
    • CVSS: 5.6 (ertaina)
    • CVSS bektorea: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N
    • Explotazioa: Ez da detektatu

Arintzea/Konponbidea

Segurtasun arazoak konpontzeko, CVE-2024-36350 eta CVE-2024-36357 gisa deskribatutakoak, XenServer 8.4 eragiten dutenak, fabrikatzaileak gomendatzen du azken bertsiora eguneratzea, Eguneraketa Goiztiar eta Normalen bidez, jarraibideak jarraituz hemen: https://docs.xenserver.com/en-us/xenserver/8/update.

CVE-2025-6759 ahultasunarentzat, Windows-eko Virtual Delivery Agent-eri eragiten diona, Citrix Virtual Apps eta Desktops eta Citrix DaaS-ek erabiltzen dutena, gomendatzen da bezeroek beren aurreko bertsioak eguneratzea, beharrezko zuzenketak dituzten bertsioetara. Eguneraketa horien bertsio zenbakiak dira: Citrix Virtual Apps eta Desktops 2503 edo geroago, eta Citrix Virtual Apps eta Desktops 2402 LTSR CU1 eta CU2-rako eguneraketak, ondorengo esteketan lor daitezkenak:

Ezin badituzte eguneraketak berehala aplikatu, sistema erregistroan sarrera bat aldatuz aldi baterako konponbidea erabil dezakete, hau xehetasunetan azaltzen da edukian.

Erreferentzia gehigarriak