• +54 (011) 4323-9362
  • |
  • de Lun a Vie de 9 a 17 hs
  • |
  • ciberseguridad@ba-csirt.gob.ar

############################
|A|L|E|R|T|A|S| |B|A|-|C|S|I|R|T|
############################

Múltiples vulnerabilidades en Citrix Hypervisor

16/05/2019

=============================================
CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 y CVE-2019-11091
Fecha de lanzamiento: 16/05/2019
Gravedad: Alta
=============================================

VULNERABILIDAD

Citrix ha publicado varias vulnerabilidades que afectan al hardware de algunas CPUs

INFORMACIÓN

Citrix Systems, Inc. es una corporación multinacional que suministra tecnologías de virtualización de servidores, conexión en red, software-como-servicio (SaaS) e informática en la nube, entre las que se cuentan los productos Xen de código abierto. Tras la adquisición de XenSource, Inc en octubre de 2007, Citrix gestiona el proyecto del hipervisor Xen de código abierto.

DESCRIPCIÓN

Varias vulnerabilidades en el hardware de la CPU podrían permitir que el código sin privilegios que se ejecuta en un núcleo de la CPU, infiera el valor de los datos de memoria pertenecientes a otros procesos, máquinas virtuales o el hipervisor que se está ejecutando, o se ha ejecutado recientemente, en el mismo núcleo de la CPU. Se han reservado los identificadores CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 y CVE-2019-11091 para estas vulnerabilidades.

SISTEMAS AFECTADOS

- XenServer 7.6
- XenServer 7.1 LTSR Cumulative Update 2
- XenServer 7.0
- Citrix Hypervisor 8.0

SOLUCIÓN

- Actualizar Citrix Hypervisor: https://support.citrix.com/article/CTX250039
- Actualización del microcódigo de la CPU mediante el comando: xl dmesg | grep “Hardware features:”
- Desactivar el hyper-threading de la CPU (también conocido como multi-threading simultáneo). Los pasos para hacerlo se encuentran disponibles en el siguiente documento: https://support.citrix.com/article/CTX237190

Además, es posible que se necesiten actualizaciones de los sistemas operativos y del firmware (BIOS) del sistema host, siguiendo las instrucciones de su proveedor.

FUENTE

https://www.incibe-cert.es/