Podatności Xen

Podczas przełączania z Grant Table v2 na v1 w Xen, kod trzymający blokadę tabeli grantów, ale tymczasowo ją zwalniający i ponownie przejmujący, błędnie zakłada, że właściwości tabeli nie zmienią się w czasie, gdy blokada nie jest trzymana. Prowadzi to do problemów z ramkami statusu, które znikają przy przejściu z v2 na v1.

Podczas przełączania z Grant Table v1 na v2 w Xen, kod trzymający blokadę tabeli grantów, ale tymczasowo ją zwalniający i ponownie przejmujący, błędnie zakłada, że właściwości tabeli nie zmienią się w czasie, gdy blokada nie jest trzymana. Prowadzi to do zmniejszenia liczby prawidłowych referencji grantów.

Gość z włączoną funkcją Populated on Demand (PoD) może próbować odzyskiwać strony, które nie są zwykłą pamięcią RAM gościa. Może to prowadzić do uszkodzenia zarządzania pamięcią w Xen.

Hiperwywołanie EVTCHNOP_expand_array sprawdza, czy zdarzenia FIFO są włączone, ale bez odpowiedniego blokowania. Może to prowadzić do wyścigu z EVTCHNOP_reset, skutkującego dereferencją wskaźnika NULL.

Logika obsługi okresowych timerów Viridian STIMER wykonuje dzielenie przez wartość kontrolowaną przez użytkownika, która może być ustawiona na zero, powodując błąd #DE (dzielenie przez zero).

Dostęp do pamięci CMOS odbywa się za pomocą pary portów IO. Xen musi buforować wybrany przez gościa indeks, ale jedno z użyć tego indeksu nie miało odpowiedniego blokowania, co pozwala gościowi na zmianę indeksu po jego sprawdzeniu, prowadząc do odczytu poza zakresem tablicy.

Dostęp do danych konfiguracyjnych vNUMA gościa jest możliwy nawet po rozpoczęciu niszczenia domeny. Czyszczenie tych informacji konfiguracyjnych nie jest zsynchronizowane z ich pobieraniem przez model urządzenia sterujący gościem.

Podczas przetwarzania operacji grant-copy, sprawdzane są uprawnienia i wykonywana kopia. Gdy grant jest już używany („pinned”), sprawdzenie uprawnień może być wykonane na innej stronie niż ta faktycznie używana w kopii, co prowadzi do niespójności.

Operacje platform-op używają globalnego blokady, ale sposób jej uzyskiwania nie zapewnia sprawiedliwości, a przy użyciu XSM/Flask blokada jest przejmowana przed sprawdzeniem uprawnień. To jest problem platform-op.

Operacje sysctl używają globalnego blokady, ale sposób jej uzyskiwania nie zapewnia sprawiedliwości, a przy użyciu XSM/Flask blokada jest przejmowana przed sprawdzeniem uprawnień. To jest problem sysctl.

Rozwiązywanie pewnych problemów związanych z długotrwałymi operacjami okazało się zbyt kosztowne. Ponieważ dostępne są alternatywy (HVM/PVH: HAP, PV: shim), zdecydowano się na wycofanie funkcjonalności, pozostawiając ją do użytku na własne ryzyko. Małe goście pamięciowo mogą nadal działać poprawnie.

Xenstore używa nowego XEN_DOMCTL_get_domain_state do śledzenia domen. Zarządzanie bitmapą tej operacji jest powiązane z wiązaniem VIRQ_DOM_EXC. Niestety, ścieżka błędu może zniszczyć bitmapę nawet wtedy, gdy nie została utworzona. Nieuprzywilejowane domeny mogą wywołać tę ścieżkę błędu.

W systemie Xen do wersji 4.9.x odkryto problem, który pozwala użytkownikom systemu operacyjnego PV na spowodowanie awarii systemu operacyjnego gospodarza lub uzyskanie uprawnień gospodarza w trybie shadow poprzez mapowanie określonej strony pomocniczej.

W systemie Xen do wersji 4.9.x odkryto problem, który pozwala użytkownikom systemu gościa na spowodowanie awarii systemu operacyjnego gospodarza lub uzyskanie jego uprawnień poprzez wykorzystanie nieprawidłowego zarządzania błędami w liczeniu referencji w trybie shadow.

W systemie Xen do wersji 4.9.x odkryto problem, który pozwala użytkownikom systemu gościa na spowodowanie awarii systemu operacyjnego gospodarza lub uzyskanie jego uprawnień. Problem wynika z nieprawidłowej maski do sprawdzania przepełnienia licznika odniesień w trybie shadow.

W systemie Xen do wersji 4.9.x odkryto problem, który pozwala użytkownikom systemów operacyjnych HVM na uzyskanie uprawnień na hoście, zdobycie wrażliwych informacji lub spowodowanie odmowy usługi (błąd i awaria systemu operacyjnego hosta) poprzez niewłaściwe zarządzanie błędami P2M w funkcji Populate on Demand (PoD).

W Xen w wersjach do 4.9.x odkryto problem z weryfikacją parametrów. Funkcja `alloc_heap_pages` pozwala na określenie pierwszego węzła NUMA do alokacji, jednak nieprawidłowo obsługuje przypadek, gdy `node >= MAX_NUMNODES`, co prowadzi do dostępu poza granice wewnętrznej tablicy.

Xen pozwala lokalnym użytkownikom systemu gościa na spowodowanie odmowy usługi (awarii) lub potencjalne uzyskanie poufnych informacji lub przywilejów poprzez wektory związane z transytywnymi przyznaniami.

Funkcja grant-table w Xen w wersjach do 4.8.x niewłaściwie obsługuje odniesienia do regionów grant MMIO, co pozwala użytkownikom systemu operacyjnego gościa na spowodowanie odmowy usługi (utrata śledzenia grantów).

Funkcja grant-table w Xen do wersji 4.8.x zawiera warunek wyścigu prowadzący do podwójnego zwolnienia pamięci, co umożliwia użytkownikom systemu gościa spowodowanie odmowy usługi (zużycie pamięci) lub potencjalne uzyskanie poufnych informacji czy przywilejów.

Xen w wersjach do 4.6.x na platformach 64-bitowych niewłaściwie obsługuje wywołanie zwrotne failsafe, co może pozwolić użytkownikom systemu operacyjnego PV na wykonanie dowolnego kodu na systemie operacyjnym hosta.

Funkcje ioport_read i ioport_write w Xen mogą umożliwić lokalnym administratorom systemów operacyjnych HVM x86 uzyskanie uprawnień procesu qemu poprzez dostęp do portów I/O poza zakresem.

Xen w wersjach do 4.8.x umożliwia lokalnym użytkownikom systemu gościa HVM 64-bit x86 uzyskanie uprawnień poprzez niewłaściwe zarządzanie SYSCALL singlestep podczas emulacji.

Xen, używany w systemie z backendami PV, pozwala lokalnym administratorom systemu gościa na spowodowanie odmowy usługi (awaria systemu hosta) lub uzyskanie uprawnień poprzez zapis do pamięci współdzielonej między frontendem a backendem, co jest znane jako podatność podwójnego pobrania.

Xen 4.4.x działający na systemach ARM nie sprawdza poprawnie uprawnień do zapisu na adresach wirtualnych, co pozwala lokalnym administratorom gości na uzyskanie uprawnień w nieokreślony sposób.

W procesie zamykania domeny przez oxenstored dane węzłów są czyszczone, ale liczniki użycia pozostają wycieknięte. Po ponownym użyciu identyfikatora domeny nowa domena może utworzyć mniej węzłów, zanim zostanie uznana za przekraczającą limit.

Funkcja grant-table w Xen w wersjach do 4.8.x niewłaściwie obsługuje mapowanie GNTMAP_device_map i GNTMAP_host_map, co może prowadzić do problemów z zarządzaniem licznikami i uszkodzeniem pamięci. Użytkownicy systemu gościa mogą spowodować odmowę usługi lub uzyskać dostęp do uprzywilejowanego systemu operacyjnego gospodarza.

Funkcja shadow-paging w Xen w wersjach do 4.8.x niewłaściwie zarządza referencjami stron, co prowadzi do warunków wyścigu. Umożliwia to użytkownikom systemu operacyjnego gościa uzyskanie uprawnień Xen, znane jako XSA-219.