Jan Beulich

Durante a terminação de convidados, a limpeza de dispositivos PCI atribuídos e a remoção de estruturas de rastreamento para Solicitações de Interrupção (IRQs) ocorrem precocemente no processo. Um convidado em fase de terminação pode fazer com que seu modelo de dispositivo (DM) restabeleça essas estruturas de rastreamento ao vincular novas IRQs, resultando na falha de limpeza de pelo menos uma estrutura de rastreamento.

This update for xen fixes the following issues: Update to version 4.20.3 (jsc#PED-8907). Security issues fixed: - CVE-2026-42493: x86 shadow paging is deprecated (bsc#1271528). - CVE-2026-42494,CVE-2026-42495,CVE-2026-62423,CVE-2026-62424,CVE-2026-62425: buffer overruns in libfsimage iso9660 handling (bsc#1271530). - CVE-2026-62426,CVE-2026-62427: sysctl and platform-op locks open to abuse (bsc#1271531). - CVE-2026-62428: grant-table: type confusion in grant-copy (bsc#1271532). - CVE-2026-62429: vNUMA domain cleanup may race other operations (bsc#1271534). - CVE-2026-62430: x86: Out-of-bounds read in vRTC emulation (bsc#1271535). - CVE-2026-62431: Viridian STIMER division by zero (bsc#1271536). - CVE-2026-62432: evtchn: Race between FIFO expand and reset (bsc#1271537). - CVE-2026-62433: correct buffer checks for DM OP hypercalls (bsc#1271538). - CVE-2026-62434: PoD: Don't try to reclaim special pages (bsc#1271539). - CVE-2026-62437: x86: DMs may cause mem leak by IRQ binding (bsc#1276838). - CVE-2026-79602: x86: improper handling of HVM emulation return codes (bsc#1276839). - CVE-2026-79603: unconditionally do TLB flushing ahead of page scrubbing (bsc#1276841). - pygrub is only supported in de-privileged mode (bsc#1271947). Non security issue fixed: - Xen: Missing upstream bug fixes (bsc#1027519).

[This CNA information record relates to multiple CVEs; the text explains which aspects/vulnerabilities correspond to which CVE.] To manage the system, sysctl and platform operations are used by the control domain or a possible Xenstore domain. Some of these operations may not be executed in parallel, so a system-wide lock each is used. The way those locks are acquired is, however, not providing any fairness. Furthermore, with XSM/Flask in use, the lock acquire will, for some operations, occur ahead of any permission checking. The sysctl issue is CVE-2026-62426. The platform-op issue is CVE-2026-62427.

Os acessos às portas de E/S de convidados HVM requerem emulação ou tradução. Essas traduções são gerenciadas pelo modelo de dispositivo através de 'XEN DOMCTL ioport mapping'. A lista encadeada usada para essas traduções pode mudar a qualquer momento, mas a travessia dessas listas durante o processamento do acesso à porta de E/S do convidado carecia da sincronização necessária com as atualizações.

The issue concerns a cross-platform hypervisor, Xen, within the Linux operating system kernel. It relates to flaws in access control and improper implementation of P2M locking when obtaining page references. Successful exploitation may allow a remote attacker to gain access to confidential information.

O problema envolve o código de rastreamento do modo shadow que utiliza variáveis por CPU para otimizar a passagem de parâmetros. Certas variáveis são escritas utilizando dados controlados pelo hóspede, cujo tamanho é determinado pelo próprio hóspede. Esse tamanho pode exceder a capacidade da variável, e a verificação de limites necessária está ausente. Isso pode levar à corrupção de memória se um hóspede malicioso explorar esta falha. O problema requer o comprometimento do hóspede para ser explorado.

A flaw exists in the Xen hypervisor for the Linux operating system kernel related to a null pointer dereference. This issue occurs during page mapping of pages belonging to other domains. Successful exploitation could allow a remote attacker to cause a denial of service.

O problema está relacionado a um tratamento de erros defeituoso na lógica que estabelece mapeamentos para as Regiões de Memória Reservadas (RMRR) no Intel VT-d ou para os intervalos de mapeamento Unity no AMD-Vi. Essa falha pode fazer com que mapeamentos permaneçam ativos quando deveriam ter sido removidos, permitindo que os respectivos convidados obtenham acesso a regiões de memória às quais não deveriam ter acesso. A finalidade exata dessas regiões é desconhecida, e elas são normalmente usadas para tarefas da plataforma, como emulação de USB legada.

O problema diz respeito a um recurso opcional do PCI MSI chamado “Multiple Message”, que permite que um dispositivo utilize vários vetores de interrupção consecutivos. Ao contrário do MSI-X, a configuração desses vetores consecutivos precisa ser feita de uma só vez. Nesse processamento, um caminho de erro pode ser seguido em diferentes situações, com ou sem um bloqueio específico mantido. Esse caminho de erro libera incorretamente o bloqueio mesmo quando ele não está sendo mantido no momento.

O problema está relacionado à interação entre a Tecnologia de Imposição de Fluxo de Controle (CET) e a emulação do Xen. A CET é um recurso de hardware projetado para proteger contra ataques de Programação Orientada a Retorno (ROP) e utiliza pilhas-sombra (CET-SS) para armazenar endereços de retorno. Quando certos acessos à memória precisam ser interceptados pelo Xen, a emulação necessária envolve a repetição da instrução, o que pode gerar exceções. No entanto, o processo de recuperação envolve a remoção de um quadro de chamada da pilha tradicional, mas a operação correspondente para a pilha sombra está ausente. Isso pode causar uma falha no hipervisor, levando a uma Negação de Serviço (DoS) de todo o host.

The issue arises when PV guests are run in shadow paging mode to work around kernels unaware of L1TF. In this mode, Xen and shadowed PV guests run directly on the respective shadow page tables. For 64-bit PV guests, this means running on the shadow of the guest root page table. When dealing with a shortage of memory in the shadow pool associated with a domain, shadows of page tables may be torn down, including the shadow root page table that the CPU is presently running on. A precaution exists to prevent the tearing down of the underlying live page table, but the time window covered by this precaution is not large enough.

The issue is related to a security problem, but specific details are not provided.

The issue arises in environments where host-assisted address translation is necessary but Hardware Assisted Paging (HAP) is unavailable, causing Xen to run guests in shadow mode. Shadow mode maintains a pool of memory for shadow page tables and auxiliary data structures. When migrating or snapshotting guests, Xen also runs them in log-dirty mode, which requires additional data structures. However, the demands of the log-dirty infrastructure were not considered, leading to a situation where newly established shadow page tables could be freed immediately, while other code is still accessing them. This results in a use-after-free scenario.

The issue is related to a security problem, but specific details are not provided. No information is available about the estimated number of potentially affected devices or real-world incidents.

O problema está relacionado a uma inversão na ordem de bloqueio no tratamento de cópias de concessões transitivas. Isso ocorreu após a inserção de uma chamada de limpeza ausente em um caminho de tratamento de erros, como parte da correção XSA-226, sem levar em conta os requisitos de bloqueio. Como resultado, dois convidados cooperando entre si e concedendo concessões transitivas um ao outro podem fazer com que os bloqueios sejam adquiridos de forma aninhada, mas na ordem oposta. Com um tempo adequado entre as operações de cópia de concessão envolvidas, isso pode resultar no bloqueio de uma CPU.

A vulnerabilidade está relacionada à validação insuficiente de entradas no hipervisor Xen e no kernel do Linux, o que pode ser explorado por um invasor remoto para executar código arbitrário. O problema reside no backend de rede, onde uma alteração no código para oferecer suporte ao XDP (eXpress Data Path) permitiu que SKBs (buffers de soquete) com referências retidas fossem liberados, potencialmente fazendo com que o netfront do Linux utilizasse esses SKBs liberados.

O problema diz respeito a falhas no tratamento do IOMMU: RMRR (VT-d) e do mapeamento Unity (AMD-Vi). Certos dispositivos PCI em um sistema podem receber Regiões de Memória Reservadas para Intel VT-d ou intervalos de Mapeamento de Unidade para AMD-Vi, normalmente usados para tarefas da plataforma, como emulação USB legada. Como a finalidade exata dessas regiões é desconhecida, uma vez que um dispositivo associado a tal região esteja ativo, os mapeamentos dessas regiões precisam permanecer continuamente acessíveis pelo dispositivo. Esse requisito foi violado, podendo levar a um comportamento imprevisível, que varia de falhas no IOMMU até corrupção de memória.

Existe uma condição de corrida no processo de limpeza de IDs de domínio VT-d. Os IDs de domínio do Xen têm até 15 bits de largura, mas o hardware VT-d pode suportar apenas menos de 15 bits para armazenar um ID de domínio, associando um dispositivo físico a um domínio específico. Como resultado, os IDs de domínio do Xen são mapeados internamente para um intervalo de valores menor. A limpeza das estruturas de manutenção apresenta uma condição de corrida, permitindo que os IDs de domínio VT-d sejam vazados e que as limpezas sejam ignoradas.

O problema diz respeito a questões relacionadas ao gerenciamento de IOMMU: RMRR (VT-d) e mapeamento Unity (AMD-Vi). Certos dispositivos PCI em um sistema podem receber Regiões de Memória Reservadas para Intel VT-d ou intervalos de Mapeamento de Unidade para AMD-Vi, normalmente usados para tarefas da plataforma, como emulação de USB legada. Como a finalidade exata dessas regiões é desconhecida, uma vez que um dispositivo associado a tal região esteja ativo, os mapeamentos dessas regiões precisam permanecer continuamente acessíveis pelo dispositivo. Esse requisito foi violado, resultando em comportamento imprevisível, que varia de falhas de IOMMU a corrupção de memória, quando ocorrem DMA ou interrupções subsequentes do dispositivo.

O problema está relacionado a questões de gerenciamento do IOMMU: RMRR (VT-d) e mapeamento Unity (AMD-Vi). Certos dispositivos PCI em um sistema podem receber Regiões de Memória Reservadas para Intel VT-d ou intervalos de Mapeamento de Unidade para AMD-Vi, normalmente usados para tarefas da plataforma, como emulação USB legada. Como a finalidade exata dessas regiões é desconhecida, uma vez que um dispositivo associado a tal região esteja ativo, os mapeamentos dessas regiões precisam permanecer continuamente acessíveis pelo dispositivo. Esse requisito foi violado, resultando em comportamento imprevisível, que varia de falhas no IOMMU a corrupção de memória.