Podatności XAPI

Podatność CVE-2026-42486 w XAPI umożliwia użytkownikowi z rolą vm-admin ustawienie parametru VM.platform:hvm_serial, co powinno być zastrzeżone dla roli pool-admin. Pozwala to na dowolny zapis plików w dom0, co może prowadzić do eskalacji uprawnień i naruszenia integralności systemu.

Podatność CVE-2026-23562 w XAPI (XenServer API) umożliwia użytkownikowi z rolą vm-admin konfigurację PCI passthrough, co normalnie jest zarezerwowane dla roli pool-admin. Brak odpowiedniego sprawdzenia uprawnień w jednym z API pozwala na dostęp do nieprzeznaczonego sprzętu hosta.

W XAPI użytkownik z rolą vm-admin może ustawić parametr VM.other_config:storage_driver_domain, oznaczając maszynę wirtualną jako domenę pamięci masowej dla połączenia PBD. Zatrzymanie takiej maszyny może spowodować błędne oznaczenie PBD jako odłączonego, mimo że tak nie jest.

Podatność CVE-2026-23560 w XAPI umożliwia użytkownikowi z rolą vm-admin ustawienie parametru VM.other-config:is_system_domain, co pozwala oznaczyć maszynę wirtualną jako domenę systemową. Takie domeny są ignorowane i pozostawiane uruchomione podczas operacji na hoście lub puli, a także mogą być ukryte przed narzędziami administracyjnymi.

Użytkownik z rolą vm-admin w XAPI może ustawić parametr VBD.other_config:backend-local, co pozwala na przekształcenie dowolnych plików w dom0 w wirtualne dyski (VDI) i przypisanie ich do kontrolowanej maszyny wirtualnej. Umożliwia to nieautoryzowany odczyt i modyfikację plików w domenie 0.

W XAPI występuje kilka podatności: (1) aktualizacje bazy danych XAPI oczyszczają dane wejściowe, ale powiadomienia są generowane z nieoczyszczonych danych, co powoduje zatrzymanie wątku zdarzeń bazy danych; (2) kodowanie UTF-8 w XAPI jest zgodne ze standardem Unicode v3.0, podczas gdy używane biblioteki wymagają v3.1, co prowadzi do akceptacji nieprawidłowych ciągów znaków, które mogą uniemożliwić załadowanie bazy danych; (3) brak oczyszczania danych wejściowych dla aktualizacji Map/Set na obiektach w bazie danych XAPI.