CVE-2025-58146
KrytyczneCVSS 9.4Streszczenie
W XAPI występuje kilka podatności: (1) aktualizacje bazy danych XAPI oczyszczają dane wejściowe, ale powiadomienia są generowane z nieoczyszczonych danych, co powoduje zatrzymanie wątku zdarzeń bazy danych; (2) kodowanie UTF-8 w XAPI jest zgodne ze standardem Unicode v3.0, podczas gdy używane biblioteki wymagają v3.1, co prowadzi do akceptacji nieprawidłowych ciągów znaków, które mogą uniemożliwić załadowanie bazy danych; (3) brak oczyszczania danych wejściowych dla aktualizacji Map/Set na obiektach w bazie danych XAPI.
Ocena ryzyka
Ryzyko obejmuje przerwanie działania bazy danych XAPI, co może prowadzić do niedostępności usług, a także możliwość wprowadzenia nieprawidłowych danych, które uniemożliwią załadowanie bazy danych, powodując trwałą utratę funkcjonalności.
Rekomendacja
Należy natychmiast zaktualizować XAPI do wersji zawierającej poprawki dla tych podatności, a także wdrożyć dodatkowe mechanizmy walidacji danych wejściowych oraz zapewnić zgodność kodowania UTF-8 z bibliotekami używanymi w systemie.
Inne podatności w XAPI
Zobacz wszystkie- CVE-2026-42486Krytyczne
Podatność CVE-2026-42486 w XAPI umożliwia użytkownikowi z rolą vm-admin ustawienie parametru VM.platform:hvm_serial, co powinno być zastrzeżone dla roli pool-admin. Pozwala to na dowolny zapis plików w dom0, co może prowadzić do eskalacji uprawnień i naruszenia integralności systemu.
- CVE-2026-23562Krytyczne
Podatność CVE-2026-23562 w XAPI (XenServer API) umożliwia użytkownikowi z rolą vm-admin konfigurację PCI passthrough, co normalnie jest zarezerwowane dla roli pool-admin. Brak odpowiedniego sprawdzenia uprawnień w jednym z API pozwala na dostęp do nieprzeznaczonego sprzętu hosta.
- CVE-2026-23561Krytyczne
W XAPI użytkownik z rolą vm-admin może ustawić parametr VM.other_config:storage_driver_domain, oznaczając maszynę wirtualną jako domenę pamięci masowej dla połączenia PBD. Zatrzymanie takiej maszyny może spowodować błędne oznaczenie PBD jako odłączonego, mimo że tak nie jest.
- CVE-2026-23560Krytyczne
Podatność CVE-2026-23560 w XAPI umożliwia użytkownikowi z rolą vm-admin ustawienie parametru VM.other-config:is_system_domain, co pozwala oznaczyć maszynę wirtualną jako domenę systemową. Takie domeny są ignorowane i pozostawiane uruchomione podczas operacji na hoście lub puli, a także mogą być ukryte przed narzędziami administracyjnymi.
- CVE-2026-23559Krytyczne
Użytkownik z rolą vm-admin w XAPI może ustawić parametr VBD.other_config:backend-local, co pozwala na przekształcenie dowolnych plików w dom0 w wirtualne dyski (VDI) i przypisanie ich do kontrolowanej maszyny wirtualnej. Umożliwia to nieautoryzowany odczyt i modyfikację plików w domenie 0.
Oryginalny opis (angielski, źródło NVD)
There are multiple issues. 1. Updates to the XAPI database sanitise input strings, but try generating the notification using the unsanitised input. This causes the database's event thread to terminate and cease further processing. 2. XAPI's UTF-8 encoder implements v3.0 of the Unicode spec, but XAPI uses libraries which conform to the stricter v3.1 of the Unicode spec. This causes some strings to be accepted as valid UTF-8 by XAPI, but rejected by other libraries in use. Notably, such strings can be entered into the database, after which the database can no longer be loaded. 3. There is no input sanitisation for Map/Set updates on objects in the XAPI database.