Xen'de bir sanal makinenin diğer sanal makinelerin belleğini okuyup yazabildiği iki açık

Xen hipervizörünü geliştiren Xen Projesi, 3 Kasım’da Türkiye saatiyle 15.00’te yayımladığı XSA-523 numaralı danışma notunda iki güvenlik açığını duyurdu. Projeye göre açıklar, kötü niyetli bir konuk sanal makinenin Dom0 dahil başka sanal makinelere ait belleği okuyup yazmasına izin veriyor. The Hacker News’in açıklamasına göre Dom0, varsayılan olarak tam yetkiye sahip olan ve diğer sanal makineleri yöneten sanal makine. Xen’in 4.6 ve sonraki bütün sürümleri etkileniyor, 4.5 ve öncesi etkilenmiyor. Projeye göre düzeltme dışında bilinen bir önlem yok.

Açıklar

Xen Projesi’ne göre açıklar, sanal makineler arasında veri kopyalamak için kullanılan grant copy işleminde. Aynı bellek sayfasında yan yana adres aralıklarına yapılan toplu kopyalamalarda Xen, performans için daha önce doğruladığı bilgileri yeniden kullanıyor. Bu bilgilerin ne zaman yeniden doğrulanacağını belirleyen koşullar bazı durumlarda doğru değildi:

• CVE-2026-102703: Bellek çerçeve numaraları (frame number) ile izin referansları (grant reference) yanlışlıkla birbirine karışabiliyordu.
• CVE-2026-102704: Çerçeve numarasıyla kopyalamaya yalnızca sanal makinenin kendi belleği üzerinde izin veriliyor. Bu kısıtlamayı uygulayan kontrol yanlış yere konmuştu.

Xen Projesi’ne göre açıkları Anthropic, Claude modelini kullanarak buldu, Ada Logics’ten Stephan Lipp de bulguyu doğruladı. Açık daha sonra CodeAnt AI güvenlik araştırma ekibi tarafından da ayrıca bildirildi. CISA’nın iki açığın CVE kayıtlarına eklediği CVSS 3.1 puanı 4.4. Danışma notunda açıkların saldırılarda kullanıldığına dair bir bilgi yok. The Hacker News’e göre danışma notu, saldırganın sanal makine içinde ne tür bir erişime ihtiyaç duyduğunu da belirtmiyor.

Etkilenen platformlar

Xen tabanlı açık kaynak sanallaştırma platformu XCP-ng, 3 Kasım’da yayımladığı güncelleme notunda açığı kritik olarak tanımladı. XCP-ng’ye göre etkilenen bellek hipervizörü ve Dom0’ı da içerebildiği için ele geçirilmiş tek bir konuk sanal makine yalıtımı aşıp sunucunun tamamını ele geçirebiliyor. XCP-ng, 8.3 LTS için düzeltmeyi yayımladı, güncellemenin hemen uygulanmasını öneriyor ve güncellemeden sonra sunucuların yeniden başlatılması gerektiğini belirtiyor.

Güvenlik odaklı masaüstü işletim sistemi Qubes OS da 3 Kasım’da yayımladığı QSB-121 numaralı bültende, desteklenen bütün Qubes sürümlerinin ve yapılandırmalarının etkilendiğini açıkladı. Qubes’e göre düzeltme Qubes 4.3 için Xen 4.19.6-3 paketlerinde. Paketler topluluk tarafından test edildikten sonra önümüzdeki iki hafta içinde güvenlik test deposundan kararlı depoya geçecek. Güncellemeden sonra Dom0’ın yeniden başlatılması gerekiyor.

The Hacker News’e göre 4 Kasım itibarıyla Debian’ın güvenlik takip sisteminde xen paketi bookworm, trixie ve forky sürümlerinde hâlâ açıktan etkilenen olarak, sid’de ise düzeltilmiş olarak görünüyor.

Önerilen önlemler

Xen Projesi, danışma notuyla birlikte xen-unstable ile Xen 4.19.x arası ve Xen 4.18.x ile 4.17.x arası için yamaları yayımladı. Projeye göre uygun yamaların uygulanması açığı kapatıyor. Proje, yayımlanan sürümler için hazırlanan yamaların kararlı dallara göre hazırlandığını ve en son sürüm arşivine doğrudan uygulanamayabileceğini, bu yüzden yamalardan önce kararlı dalın en son hâline geçilmesini öneriyor. The Hacker News’e göre Xen’in 4.6 ve sonraki sürümleri üzerine kurulan diğer ürünler, üreticileri XSA-523 yamalarını ekleyene kadar etkilenmeye devam ediyor.