CVE-2026-23559
KrytyczneCVSS 9.4Streszczenie
Użytkownik z rolą vm-admin w XAPI może ustawić parametr VBD.other_config:backend-local, co pozwala na przekształcenie dowolnych plików w dom0 w wirtualne dyski (VDI) i przypisanie ich do kontrolowanej maszyny wirtualnej. Umożliwia to nieautoryzowany odczyt i modyfikację plików w domenie 0.
Ocena ryzyka
Organizacja narażona jest na naruszenie poufności i integralności danych w dom0, co może prowadzić do eskalacji uprawnień, wycieku wrażliwych informacji lub uszkodzenia krytycznych plików systemowych.
Rekomendacja
Należy niezwłocznie zastosować łatkę dostarczoną przez producenta oraz ograniczyć przydzielanie roli vm-admin tylko do zaufanych użytkowników. Dodatkowo warto monitorować logi pod kątem nietypowych operacji na VBD.
Inne podatności w XAPI
Zobacz wszystkie- CVE-2026-42486Krytyczne
Podatność CVE-2026-42486 w XAPI umożliwia użytkownikowi z rolą vm-admin ustawienie parametru VM.platform:hvm_serial, co powinno być zastrzeżone dla roli pool-admin. Pozwala to na dowolny zapis plików w dom0, co może prowadzić do eskalacji uprawnień i naruszenia integralności systemu.
- CVE-2026-23562Krytyczne
Podatność CVE-2026-23562 w XAPI (XenServer API) umożliwia użytkownikowi z rolą vm-admin konfigurację PCI passthrough, co normalnie jest zarezerwowane dla roli pool-admin. Brak odpowiedniego sprawdzenia uprawnień w jednym z API pozwala na dostęp do nieprzeznaczonego sprzętu hosta.
- CVE-2026-23561Krytyczne
W XAPI użytkownik z rolą vm-admin może ustawić parametr VM.other_config:storage_driver_domain, oznaczając maszynę wirtualną jako domenę pamięci masowej dla połączenia PBD. Zatrzymanie takiej maszyny może spowodować błędne oznaczenie PBD jako odłączonego, mimo że tak nie jest.
- CVE-2026-23560Krytyczne
Podatność CVE-2026-23560 w XAPI umożliwia użytkownikowi z rolą vm-admin ustawienie parametru VM.other-config:is_system_domain, co pozwala oznaczyć maszynę wirtualną jako domenę systemową. Takie domeny są ignorowane i pozostawiane uruchomione podczas operacji na hoście lub puli, a także mogą być ukryte przed narzędziami administracyjnymi.
- CVE-2025-58146Krytyczne
W XAPI występuje kilka podatności: (1) aktualizacje bazy danych XAPI oczyszczają dane wejściowe, ale powiadomienia są generowane z nieoczyszczonych danych, co powoduje zatrzymanie wątku zdarzeń bazy danych; (2) kodowanie UTF-8 w XAPI jest zgodne ze standardem Unicode v3.0, podczas gdy używane biblioteki wymagają v3.1, co prowadzi do akceptacji nieprawidłowych ciągów znaków, które mogą uniemożliwić załadowanie bazy danych; (3) brak oczyszczania danych wejściowych dla aktualizacji Map/Set na obiektach w bazie danych XAPI.
Oryginalny opis (angielski, źródło NVD)
[This CNA information record relates to multiple CVEs; the text explains which aspects/vulnerabilities correspond to which CVE.] XAPI can configure different users with different roles, using Role Based Access Control. For more details, see: https://docs.xenserver.com/en-us/xencenter/current-release/rbac-overview.html#rbac-roles The pool-admin role is fully privileged. Notably, users with this role can also SSH into the host as root. The other administrator roles are pool-operator, vm-power-admin and vm-admin, each of which are authorised to configure and manage various aspects of the system. Some settings are inadequately restricted, and can be set by a lower privilege of administrator than expected. * CVE-2026-23559: A vm-admin can set VBD.other_config:backend-local and turn arbitrary files in dom0 into VDIs (virtual disks) and give said disks to a VM they control. This is an arbitrary read and/or modify of files in dom0. * CVE-2026-23560: A vm-admin can set VM.other-config:is_system_domain and mark a VM as a system domain. System domains are ignored and left running during certain other host/pool operations, and may be hidden from view in tooling. * CVE-2026-23561: A vm-admin can set VM.other_config:storage_driver_domain and mark a VM as the storage domain for a particular host storage connection (PBD). Shutting down the VM can cause the PBD to be erroneously marked as unplugged when it is not. * CVE-2026-23562: Configuration of PCI passthrough is normally restricted to the pool-admin role. However one API was missing this check, allowing a vm-admin access to unintended host hardware. * CVE-2026-42486: A vm-admin can set the VM.platform:hvm_serial parameter, which should be restricted to the pool-admin role, as it can allow arbitrary dom0 file write.