Podatności Xen

Podczas przełączania z Grant Table v2 na v1 w Xen, kod trzymający blokadę tabeli grantów, ale tymczasowo ją zwalniający i ponownie przejmujący, błędnie zakłada, że właściwości tabeli nie zmienią się w czasie, gdy blokada nie jest trzymana. Prowadzi to do problemów z ramkami statusu, które znikają przy przejściu z v2 na v1.

Podczas przełączania z Grant Table v1 na v2 w Xen, kod trzymający blokadę tabeli grantów, ale tymczasowo ją zwalniający i ponownie przejmujący, błędnie zakłada, że właściwości tabeli nie zmienią się w czasie, gdy blokada nie jest trzymana. Prowadzi to do zmniejszenia liczby prawidłowych referencji grantów.

Gość z włączoną funkcją Populated on Demand (PoD) może próbować odzyskiwać strony, które nie są zwykłą pamięcią RAM gościa. Może to prowadzić do uszkodzenia zarządzania pamięcią w Xen.

Hiperwywołanie EVTCHNOP_expand_array sprawdza, czy zdarzenia FIFO są włączone, ale bez odpowiedniego blokowania. Może to prowadzić do wyścigu z EVTCHNOP_reset, skutkującego dereferencją wskaźnika NULL.

Logika obsługi okresowych timerów Viridian STIMER wykonuje dzielenie przez wartość kontrolowaną przez użytkownika, która może być ustawiona na zero, powodując błąd #DE (dzielenie przez zero).

Dostęp do pamięci CMOS odbywa się za pomocą pary portów IO. Xen musi buforować wybrany przez gościa indeks, ale jedno z użyć tego indeksu nie miało odpowiedniego blokowania, co pozwala gościowi na zmianę indeksu po jego sprawdzeniu, prowadząc do odczytu poza zakresem tablicy.

Dostęp do danych konfiguracyjnych vNUMA gościa jest możliwy nawet po rozpoczęciu niszczenia domeny. Czyszczenie tych informacji konfiguracyjnych nie jest zsynchronizowane z ich pobieraniem przez model urządzenia sterujący gościem.

Podczas przetwarzania operacji grant-copy, sprawdzane są uprawnienia i wykonywana kopia. Gdy grant jest już używany („pinned”), sprawdzenie uprawnień może być wykonane na innej stronie niż ta faktycznie używana w kopii, co prowadzi do niespójności.

Operacje platform-op używają globalnego blokady, ale sposób jej uzyskiwania nie zapewnia sprawiedliwości, a przy użyciu XSM/Flask blokada jest przejmowana przed sprawdzeniem uprawnień. To jest problem platform-op.

Operacje sysctl używają globalnego blokady, ale sposób jej uzyskiwania nie zapewnia sprawiedliwości, a przy użyciu XSM/Flask blokada jest przejmowana przed sprawdzeniem uprawnień. To jest problem sysctl.

Rozwiązywanie pewnych problemów związanych z długotrwałymi operacjami okazało się zbyt kosztowne. Ponieważ dostępne są alternatywy (HVM/PVH: HAP, PV: shim), zdecydowano się na wycofanie funkcjonalności, pozostawiając ją do użytku na własne ryzyko. Małe goście pamięciowo mogą nadal działać poprawnie.

Xenstore używa nowego XEN_DOMCTL_get_domain_state do śledzenia domen. Zarządzanie bitmapą tej operacji jest powiązane z wiązaniem VIRQ_DOM_EXC. Niestety, ścieżka błędu może zniszczyć bitmapę nawet wtedy, gdy nie została utworzona. Nieuprzywilejowane domeny mogą wywołać tę ścieżkę błędu.

W systemie Xen do wersji 4.9.x odkryto problem, który pozwala użytkownikom systemu operacyjnego PV na spowodowanie awarii systemu operacyjnego gospodarza lub uzyskanie uprawnień gospodarza w trybie shadow poprzez mapowanie określonej strony pomocniczej.

W systemie Xen do wersji 4.9.x odkryto problem, który pozwala użytkownikom systemu gościa na spowodowanie awarii systemu operacyjnego gospodarza lub uzyskanie jego uprawnień poprzez wykorzystanie nieprawidłowego zarządzania błędami w liczeniu referencji w trybie shadow.

W systemie Xen do wersji 4.9.x odkryto problem, który pozwala użytkownikom systemu gościa na spowodowanie awarii systemu operacyjnego gospodarza lub uzyskanie jego uprawnień. Problem wynika z nieprawidłowej maski do sprawdzania przepełnienia licznika odniesień w trybie shadow.

W systemie Xen do wersji 4.9.x odkryto problem, który pozwala użytkownikom systemów operacyjnych HVM na uzyskanie uprawnień na hoście, zdobycie wrażliwych informacji lub spowodowanie odmowy usługi (błąd i awaria systemu operacyjnego hosta) poprzez niewłaściwe zarządzanie błędami P2M w funkcji Populate on Demand (PoD).

W Xen w wersjach do 4.9.x odkryto problem z weryfikacją parametrów. Funkcja `alloc_heap_pages` pozwala na określenie pierwszego węzła NUMA do alokacji, jednak nieprawidłowo obsługuje przypadek, gdy `node >= MAX_NUMNODES`, co prowadzi do dostępu poza granice wewnętrznej tablicy.

Xen pozwala lokalnym użytkownikom systemu gościa na spowodowanie odmowy usługi (awarii) lub potencjalne uzyskanie poufnych informacji lub przywilejów poprzez wektory związane z transytywnymi przyznaniami.

Funkcja grant-table w Xen w wersjach do 4.8.x niewłaściwie obsługuje odniesienia do regionów grant MMIO, co pozwala użytkownikom systemu operacyjnego gościa na spowodowanie odmowy usługi (utrata śledzenia grantów).

Funkcja grant-table w Xen do wersji 4.8.x zawiera warunek wyścigu prowadzący do podwójnego zwolnienia pamięci, co umożliwia użytkownikom systemu gościa spowodowanie odmowy usługi (zużycie pamięci) lub potencjalne uzyskanie poufnych informacji czy przywilejów.

Xen w wersjach do 4.6.x na platformach 64-bitowych niewłaściwie obsługuje wywołanie zwrotne failsafe, co może pozwolić użytkownikom systemu operacyjnego PV na wykonanie dowolnego kodu na systemie operacyjnym hosta.

Funkcje ioport_read i ioport_write w Xen mogą umożliwić lokalnym administratorom systemów operacyjnych HVM x86 uzyskanie uprawnień procesu qemu poprzez dostęp do portów I/O poza zakresem.

Xen w wersjach do 4.8.x umożliwia lokalnym użytkownikom systemu gościa HVM 64-bit x86 uzyskanie uprawnień poprzez niewłaściwe zarządzanie SYSCALL singlestep podczas emulacji.

Xen, używany w systemie z backendami PV, pozwala lokalnym administratorom systemu gościa na spowodowanie odmowy usługi (awaria systemu hosta) lub uzyskanie uprawnień poprzez zapis do pamięci współdzielonej między frontendem a backendem, co jest znane jako podatność podwójnego pobrania.

Xen pozwala użytkownikom systemów gościnnych uzyskać poufne informacje z niezainicjalizowanych obszarów pamięci jądra systemu hosta poprzez nieuwzględnienie bitów kontrolnych dekodowania pamięci i I/O. Luka wynika z niekompletnej poprawki CVE-2015-0777.

Xen 4.4.x działający na systemach ARM nie sprawdza poprawnie uprawnień do zapisu na adresach wirtualnych, co pozwala lokalnym administratorom gości na uzyskanie uprawnień w nieokreślony sposób.

Podatność w Xen dotyczy obejścia dla XSA-433 (Zenbleed), które zostało przerobione, ale wprowadzono odwrócony warunek, przez co obejście nie jest stosowane, gdy jest potrzebne, i odwrotnie.

W procesie zamykania domeny przez oxenstored dane węzłów są czyszczone, ale liczniki użycia pozostają wycieknięte. Po ponownym użyciu identyfikatora domeny nowa domena może utworzyć mniej węzłów, zanim zostanie uznana za przekraczającą limit.

W kodzie viridian (Xen) występuje wyścig przy mapowaniu strony referencyjnej TSC, w którym gość może spowodować zwolnienie strony przez Xen, podczas gdy jest ona nadal obecna w tablicach stron gościa fizycznego do maszynowego (p2m). Jest to jedna z wielu podatności związanych z obsługą pamięci gościa w viridian, obok CVE-2025-27466 i CVE-2025-58142.

W kodzie viridian Xen występuje dereferencja wskaźnika NULL polegająca na założeniu, że strona SIM jest zmapowana, gdy trzeba dostarczyć komunikat syntetycznego timera. Jest to jedna z trzech powiązanych podatności w obsłudze pamięci gościa.

W kodzie viridian Xen występuje dereferencja wskaźnika NULL podczas aktualizacji obszaru referencyjnego TSC. Jest to jedna z trzech powiązanych podatności w obsłudze pamięci gościa.

Funkcja grant-table w Xen w wersjach do 4.8.x niewłaściwie obsługuje mapowanie GNTMAP_device_map i GNTMAP_host_map, co może prowadzić do problemów z zarządzaniem licznikami i uszkodzeniem pamięci. Użytkownicy systemu gościa mogą spowodować odmowę usługi lub uzyskać dostęp do uprzywilejowanego systemu operacyjnego gospodarza.

Funkcja shadow-paging w Xen w wersjach do 4.8.x niewłaściwie zarządza referencjami stron, co prowadzi do warunków wyścigu. Umożliwia to użytkownikom systemu operacyjnego gościa uzyskanie uprawnień Xen, znane jako XSA-219.

Podatność w Xen dotyczy logiki wprowadzonej dla XSA-308, która nie obsługuje pewnej kombinacji stanu VMX VMEntry, gdy #DB jest przechwytywane, aktywne jest pojedyncze krokowanie i blokada przez STI/MovSS. W przypadku włączonego śledzenia gałęzi, wcześniejsza korekta nadal powoduje błąd VMEntry, co jest śmiertelne dla gościa.

Podatność w Xen dotyczy problemów z operacjami na tabelach grantów, gdzie zmiany v2 -> v1 -> v2 mogą prowadzić do zmiany adresów stron statusu. Wcześniej wskaźniki do tablicy statusu mogą stać się nieaktualne, co może prowadzić do nieprawidłowego działania.

Podatność w Xen dotyczy mechanizmu XPTI (Xen Page Table Isolation), który kopiuje wpisy tablic stron gości PV z tablic wybranych przez gościa do tablicy wybranej przez Xen. Goście PV mogą mieć bezpośrednią mapę, która nie obejmuje całej pamięci, szczególnie gdy pamięć przekracza granicę 5 TiB (lub 3.5 TiB przy CONFIG_BIGMEM=y).

Podatność w Xenstore dotyczy aktualizacji na żywo, gdzie rekord stanu dla zegarka Xenstore z określoną głębokością jest zapisywany z brakującymi dwoma bajtami. Powoduje to niespójny stan podczas odczytu w nowym Xenstore, co może prowadzić do awarii Xenstore lub błędnych danych.

Podatność w Xen dotyczy operacji GNTTABOP_cache_flush, która może być wykonywana na pamięci zmapowanej z innej domeny przez interfejs tabeli grantów. Brakuje ograniczenia uniemożliwiającego użycie invalidate-without-clean na mapowaniach tylko do odczytu, co może uszkodzić przyznaną pamięć.

Podatność w Xen dotyczy operacji GNTTAB_cache_flush, gdzie w ścieżce błędu po dodaniu sprawdzenia NULL nie jest zwalniane odwołanie do strony, jeśli strona należy do specjalnej domeny systemowej (DOM_IO lub DOM_COW).

Podatność w Xen dotyczy operacji GNTTABOP_cache_flush, gdzie poprawka dla XSA-437 wprowadziła obliczenie, które może powodować niedomiar, prowadząc do bardzo długiej pętli, co może doprowadzić do awarii hiperwizora, szczególnie na 64-bitowym Arm.

Goście PV na architekturze x86 mogą zwalniać strony pamięci, pozostawiając nieaktualny wpis TLB wskazujący na nie. Xen wydaje polecenie TLB flush tylko wtedy, gdy strona jest ponownie używana. Ponieważ strona może zostać wyczyszczona przed TLB flush, istnieje okno, w którym gość PV może zmodyfikować już wyczyszczoną stronę.

Gość z przypisanym urządzeniem PCI, które ma co najmniej jeden BAR w przestrzeni portów I/O, może wywołać BUG() w Xen.

Podczas kończenia działania gości, proces czyszczenia urządzeń PCI przypisanych do gości oraz usuwania struktur śledzących dla IRQ używanych przez te urządzenia następuje stosunkowo wcześnie. Po tym punkcie gość, który ma być zakończony, może spowodować, że jego model urządzenia (DM) ponownie utworzy takie struktury śledzące, wiążąc jeden lub więcej IRQ na nowo. Niektóre z tych struktur zostaną później wyczyszczone, ale co najmniej jedna nie.

Każdy gość może spowodować awarię xenstored, wysyłając polecenie XS_RESET_WATCHES w ramach transakcji, co wyzwala assert(). Jeśli xenstored został zbudowany z zdefiniowanym NDEBUG, nic złego się nie stanie, ponieważ assert() nic nie robi. Domyślnie NDEBUG nie jest definiowane dla kompilacji xenstored, nawet w wydaniach Xen typu release.

Podatność w libxl (Xen) podczas odłączania urządzeń PCI. Logika odłączania nie usuwa uprawnień dostępu do 64-bitowych BAR pamięci, co pozwala domenie nadal mieć dostęp do pamięci po odłączeniu urządzenia.

W hiperwywołaniach Viridian w Xen występują błędy sprawdzania granic, które mogą powodować odczyty i zapisy poza zakresem podczas przetwarzania masek identyfikatorów vCPU. W przypadku CVE-2025-58148 hiperwywołania używające dowolnego formatu wejściowego mogą powodować, że send_ipi() odczytuje d->vcpu[] poza zakresem i operuje na nieprawidłowym wskaźniku vCPU.

W hiperwywołaniach Viridian w Xen występują błędy sprawdzania granic, które mogą powodować odczyty i zapisy poza zakresem podczas przetwarzania masek identyfikatorów vCPU. W przypadku CVE-2025-58147 hiperwywołania używające formatu HV_VP_SET Sparse mogą powodować, że vpmask_set() zapisuje poza zakresem podczas konwersji bitmapy do formatu Xen.

Podatność w hiperwizorze Xen związana z mapowaniem stron należących do innych domen. Blokada P2M nie jest utrzymywana do momentu faktycznego uzyskania referencji do strony (lub niepowodzenia próby), co pozwala stronie zmienić typ, a nawet właściciela, naruszając granice domen. Może to prowadzić do eskalacji uprawnień lub naruszenia izolacji maszyn wirtualnych.

Podatność w hiperwizorze Xen związana z mapowaniem stron należących do innych domen. Błędna asercja w przypadku wymagającym obsługi może prowadzić do dereferencji wskaźnika NULL w wersji release.