Andrew Cooper

[This CNA information record relates to multiple CVEs; the text explains which aspects/vulnerabilities correspond to which CVE.] To create and manage guests, domctl operations are used by the control domain, a possible Xenstore domain, or by a domain controlling a particular guest. Some of these operations may not be executed in parallel, so a system-wide lock is used. The way that lock is acquired is, however, not providing any fairness. This is CVE-2026-42489. Furthermore, with XSM/Flask in use, the lock acquire will, for some operations, occur ahead of any permission checking. This is CVE-2026-42490.

[This CNA information record relates to multiple CVEs; the text explains which aspects/vulnerabilities correspond to which CVE.] To create and manage guests, domctl operations are used by the control domain, a possible Xenstore domain, or by a domain controlling a particular guest. Some of these operations may not be executed in parallel, so a system-wide lock is used. The way that lock is acquired is, however, not providing any fairness. This is CVE-2026-42489. Furthermore, with XSM/Flask in use, the lock acquire will, for some operations, occur ahead of any permission checking. This is CVE-2026-42490.

Nome do Software Vulnerável e Versões Afetadas: xen (versões afetadas não especificadas) Descrição: A falha permite que um guest não privilegiado cause uma queda no hipervisor, resultando em uma Negação de Serviço (DoS) de todo o host. Isso se deve ao tratamento incorreto de exceções de stubs para recuperação de flags. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

O problema está relacionado ao componente x86/xen do kernel Linux, onde a hipercamada PV iret era anteriormente executada por meio da página de hipercamadas. Isso foi alterado para codificar diretamente a sequência necessária em xen-asm.S, em preparação para deixar de usar a página de hipochamadas devido a problemas com mitigações de especulação. A vulnerabilidade pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas devido a uma sequência incorreta de instruções do processador resultante da falta de uma instrução ENDBR e de prólogo/epílogo para esquemas CFI baseados em hash.

Nome do software vulnerável e versões afetadas: Kernel do Linux (versões afetadas não especificadas) Descrição: O problema está relacionado a uma vulnerabilidade do tipo “Meltdown Lite” envolvendo acessos não canônicos no espaço do kernel, o que pode levar ao vazamento de dados especulativos. Isso se deve ao uso exclusivo do bit mais alto para determinar se um acesso ocorre no espaço do usuário ou no espaço do kernel. O kernel foi atualizado para envolver o acesso com um par STAC/CLAC, o que serializa a execução em arquiteturas Zen mais antigas e fecha a janela de especulação. No entanto, isso não é eficaz em arquiteturas Zen 5, que renomeiam o bit AC e melhoram o desempenho do STAC/CLAC, mas também abrem a janela de especulação. O problema afeta o novo mascaramento de endereço, bem como a verificação regular valid user address() usada por access ok(), e a versão asm da verificação do bit de sinal nos auxiliares get user(). Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

O problema está relacionado a um erro lógico na mitigação da “Branch Type Confusion”, que não é aplicada corretamente quando deveria. Esse erro também afeta o “Speculative Return Stack Overflow”, uma vez que utiliza a mesma infraestrutura. A vulnerabilidade pode permitir que um invasor acesse informações confidenciais e eleve seus privilégios.

A race condition in System Management Mode (SMM) code may allow an attacker using a compromised user space to potentially result in privilege escalation.

The issue is related to insufficient protections in System Management Mode (SMM) code, which may allow an attacker to potentially enable escalation of privilege via local access.

The issue is related to the fixes for Branch Type Confusion and Speculative Return Stack Overflow not being IRQ-safe. It was believed that the mitigations always operated in contexts with IRQs disabled. However, the original fix for Meltdown deliberately left interrupts enabled on two entry paths. As a result, there is a race condition whereby a malicious PV guest can bypass protections and launch an attack against Xen. This can allow an attacker to infer the contents of memory belonging to other guests. Xen is only vulnerable in default configurations on AMD and Hygon CPUs.

Insufficient protections in System Management Mode (SMM) code may allow an attacker to potentially enable escalation of privilege via local access.

A questão está relacionada a um problema de segurança, mas não foram fornecidos detalhes específicos.

O problema afeta CPUs AMD com extensões às funções normais de depuração x86, introduzidas nas CPUs desde aproximadamente 2014.

The issue is related to a security problem, but specific details are not provided.

The issue is related to a security problem, but specific details are not provided. No information is available about the estimated number of potentially affected devices or real-world incidents.

The issue is related to a speculative vulnerability in the 32bit SYSCALL path. Due to an oversight in the original Spectre/Meltdown security work, one entry path performs its speculation-safety actions too late. In some configurations, there is an unprotected RET instruction which can be attacked with a variety of speculative attacks.

O problema diz respeito ao compartilhamento indesejado de memória entre máquinas virtuais em sistemas Intel que suportam o recurso “virtualizar acessos APIC”. Uma máquina virtual pode ler e gravar na página xAPIC global compartilhada ao tirar o APIC local do modo xAPIC, contornando o isolamento esperado entre duas máquinas virtuais.

O problema está relacionado a loops de longa duração no tratamento da tabela de concessões. O Xen mantém informações sobre mapeamentos de concessões que um domínio pode criar para mapear concessões oferecidas por outros domínios. Ao realizar determinadas ações, o Xen percorre todas essas entradas, incluindo aquelas que não estão mais em uso e algumas que podem ter sido criadas, mas nunca utilizadas. Se o número de entradas para um determinado domínio for grande o suficiente, essa iteração pode ocupar a CPU por tempo excessivo, privando outros domínios de recursos ou causando problemas no próprio hipervisor. Um domínio pode mapear suas próprias concessões, e um par de convidados “cooperantes” pode agravar os efeitos.

Este problema está relacionado à vulnerabilidade de segurança especulativa TSX Async Abort, que pode levar à divulgação de informações. Um invasor, agindo remotamente, pode conseguir acessar dados confidenciais. A vulnerabilidade está associada à arquitetura x86 e ao fato de as proteções TSX Async Abort não serem restauradas após a suspensão S3. Para mitigar esse problema desativando o TSX, é necessário selecionar uma configuração não padrão em `MSR TSX CTRL`, mas essa configuração não é restaurada após a suspensão S3.

O problema está relacionado à detecção e ao tratamento inadequados do tempo limite (timeout) do IOMMU x86. Os IOMMUs processam comandos em paralelo com a operação da(s) CPU(s) que emite(m) tais comandos. Na implementação atual do Xen, a notificação assíncrona da conclusão desses comandos não é utilizada, e a CPU emissora fica em espera (spin-wait) pela conclusão do(s) comando(s) emitido(s) mais recentemente. Alguns desses loops de espera tentam aplicar um tempo limite para interromper comandos excessivamente lentos. No entanto, a ação tomada quando um tempo limite percebido é efetivamente detectado é inadequada, podendo fazer com que os convidados sejam marcados como travados em hardware Intel ou que chamadores de camadas superiores continuem como se a operação do IOMMU tivesse sido bem-sucedida em hardware AMD.

Foi descoberta uma falha no Xen em que um convidado pode acessar caminhos do xenstore por meio de caminhos absolutos contendo um nome de caminho completo ou por meio de um caminho relativo, que inclui implicitamente `/local/domain/$DOMID` para seu próprio ID de domínio. As ferramentas de gerenciamento devem acessar caminhos nos namespaces dos convidados, necessariamente usando caminhos absolutos. O oxenstored impõe um limite de nome de caminho que é aplicado exclusivamente ao caminho relativo ou absoluto especificado pelo cliente. Portanto, um convidado pode criar caminhos em seu próprio namespace que sejam longos demais para que as ferramentas de gerenciamento possam acessá-los. Dependendo do conjunto de ferramentas em uso, um administrador de convidado mal-intencionado pode fazer com que algumas ferramentas de gerenciamento e operações de depuração falhem. Por exemplo, um administrador de convidado pode fazer com que o comando “xenstore-ls -r” falhe. No entanto, um administrador de convidado não pode impedir que o administrador do host desative o domínio. Todos os sistemas que utilizam o oxenstored estão vulneráveis.