Edwin Török

Múltiplos problemas no XAPI podem levar a uma Negação de Serviço (DoS). Primeiro, embora as atualizações no banco de dados sanitizem as strings de entrada, o processo de geração de notificações utiliza entradas não sanitizadas, o que pode causar a terminação da thread de eventos do banco de dados e interromper o processamento. Segundo, uma discrepância entre o codificador UTF-8 (especificação Unicode v3.0) e outras bibliotecas internas (especificação Unicode v3.1) permite que certas strings sejam aceitas e armazenadas no banco de dados, o que posteriormente impede que o banco de dados seja carregado. Terceiro, há a ausência de sanitização de entrada para atualizações de Map/Set em objetos dentro do banco de dados.

Foi descoberta uma falha no Xen XAPI em que determinadas chaves do xenstore fornecem feedback do convidado e são monitoradas pelo toolstack, especificamente pelo xenopsd. A lógica de monitoramento no xenopsd envia uma atualização RPC contendo todos os dados sempre que uma única chave do xenstore é atualizada, resultando em complexidade de tempo O(N^2). Além disso, o message-switch retém mensagens RPC recentes para fins de diagnóstico, gerando complexidade de espaço O(M*N). Um convidado com bug ou malicioso pode causar uso excessivo de memória no dom0, resultando em uma negação de serviço no host. A quantidade de memória que um único convidado pode monopolizar é limitada pela cota do xenstore, que é bastante grande, estimada em mais de 1 GB por convidado malicioso.

O problema está relacionado ao processo oxenstored do hipervisor Xen, associado à alocação ilimitada de memória. A exploração desse problema pode permitir que um invasor cause uma negação de serviço. No oxenstored, o proprietário de um nó poderia ceder um nó, mas a propriedade do nó tem implicações de cota. Qualquer convidado pode esgotar a cota de outro convidado ou criar um número ilimitado de nós pertencentes ao dom0, esgotando assim a memória do oxenstored. Um administrador de convidados mal-intencionado pode causar uma negação de serviço contra um convidado específico ou contra todo o host. Todos os sistemas que utilizam o oxenstored estão vulneráveis.

O problema está relacionado à implementação do Ocaml xenstored no Xen, onde a representação interna da árvore apresenta casos especiais para o nó raiz. Infelizmente, as permissões não foram verificadas para certas operações no nó raiz, permitindo que usuários convidados sem privilégios obtivessem e modificassem permissões, listassem e excluíssem o nó raiz. Isso pode levar a uma negação de serviço em todo o host se toda a árvore do xenstore for excluída. Também é possível obter acesso de gravação ao xenstore. Todos os sistemas que utilizam o oxenstored estão vulneráveis, enquanto os sistemas que utilizam o C xenstored não estão.

Foi descoberta uma falha no Xen em que um convidado pode acessar caminhos do xenstore por meio de caminhos absolutos contendo um nome de caminho completo ou por meio de um caminho relativo, que inclui implicitamente `/local/domain/$DOMID` para seu próprio ID de domínio. As ferramentas de gerenciamento devem acessar caminhos nos namespaces dos convidados, necessariamente usando caminhos absolutos. O oxenstored impõe um limite de nome de caminho que é aplicado exclusivamente ao caminho relativo ou absoluto especificado pelo cliente. Portanto, um convidado pode criar caminhos em seu próprio namespace que sejam longos demais para que as ferramentas de gerenciamento possam acessá-los. Dependendo do conjunto de ferramentas em uso, um administrador de convidado mal-intencionado pode fazer com que algumas ferramentas de gerenciamento e operações de depuração falhem. Por exemplo, um administrador de convidado pode fazer com que o comando “xenstore-ls -r” falhe. No entanto, um administrador de convidado não pode impedir que o administrador do host desative o domínio. Todos os sistemas que utilizam o oxenstored estão vulneráveis.

The issue allows remote servers to cause a denial of service (crash) via a reply with an empty DNS address that has an (1) A or (2) AAAA record defined locally.