Date de publication initiale : 23/10/2020 5h00 PST

-----

AWS est au courant des avis de sécurité Xen XSA-286 (https://xenbits.xen.org/xsa/advisory-286.html), XSA-331 (https://xenbits.xen.org/xsa/advisory-331.html), XSA-332 (https://xenbits.xen.org/xsa/advisory-332.html), XSA-345 (https://xenbits.xen.org/xsa/advisory-345.html), XSA-346 (https://xenbits.xen.org/xsa/advisory-346.html), et XSA-347 (https://xenbits.xen.org/xsa/advisory-347.html) publiés par l'équipe de sécurité Xen le 20 octobre 2020.

Avis de sécurité Xen (XSA-286)

Ce problème n'affecte pas les données et les instances des clients AWS qui s'exécutent sur les types d'instances de la génération actuelle, et aucune action du client n'est requise. En effet, les types d'instance de la génération actuelle utilisent la virtualisation des machines virtuelles matérielles (HVM).

Cependant, les instances utilisant la virtualisation paravirtuelle (PV) sont affectées par XSA-286 (https://xenbits.xen.org/xsa/advisory-286.html), qui peut permettre aux utilisateurs invités d'élever leurs privilèges à ceux du noyau invité. Les AMI PV ne sont prises en charge que par les anciens types d'instance C1, C3, HS1, M1, M3, M2 et T1. La génération actuelle des types d'instance ne prend pas en charge les AMI PV et n'est donc pas affectée.

AWS recommande aux clients de ne plus utiliser les instances PV depuis notre bulletin de sécurité de mars 2018 (https://aws.amazon.com/security/security-bulletins/AWS-2018-013/). Nous continuons à recommander vivement aux clients de cesser immédiatement d'utiliser des IMA PV et d'utiliser plutôt des HVM.

Avis de sécurité Xen XSA-331, XSA-332, XSA-345, XSA-346 et XSA-347

Ces problèmes n'ont pas d'effets sur les données et les instances des clients AWS, aucune action de la part des clients n'est donc nécessaire.