Podatności bhyve

W modelu urządzenia framebuffer w bhyve stałe maksymalnej rozdzielczości były zduplikowane między modułami framebuffer i RFB i rozjechały się. Dodatkowo zapisy do BAR framebuffer mogły ustawiać dowolne wartości szerokości i wysokości bez walidacji, a wątki I/O BAR i renderowania RFB nie były zsynchronizowane.

W modelu urządzenia audio HDA w bhyve nie sprawdzano wpisów Buffer Descriptor List (BDL) o zerowej długości przy starcie strumienia. Wpis o zerowej długości powodował odczyt lub zapis poza granicami podczas przetwarzania transferu DMA. Pola BDL mogły być też modyfikowane przez gościa po walidacji.

W modelu urządzenia xHCI (USB 3) w bhyve nie walidowano ani nie zapisywano rozmiaru event ring podanego przez gościa. Rozmiar był ponownie odczytywany z pamięci gościa przy każdym użyciu, a pola Transfer Request Block (TRB) ładowane bez ochrony przed równoczesną modyfikacją przez gościa. Ta sytuacja wyścigu mogła być wywołana przez gościa uruchamiającego złośliwy, uprzywilejowany kod.