Xen: Mit Claude gefundene Grant-Copy-Lücke gefährdet auch Dom0

Am 3. November um 12:00 UTC veröffentlichte das Xen Project Security Team die zweite Version des Advisorys XSA-523 mit dem Titel "arbitrary read/write via grant copy", das auch über die oss-security-Liste von Openwall verbreitet wurde. Es betrifft zwei Schwachstellen, CVE-2026-102703 und CVE-2026-102704, und trifft den Kern dessen, was ein Hypervisor leisten soll: virtuelle Maschinen auf demselben Host voneinander zu trennen. Laut Advisory kann ein bösartiger Gast beliebigen Speicher anderer Domains lesen und beschreiben, auch den von Dom0, der Steuerdomain.

Die Schwachstelle liegt im Grant Copy, dem Vorgang, mit dem Xen Daten zwischen virtuellen Maschinen kopiert. Wie das Advisory erklärt, verwendet Xen bereits berechnete Validierungsdaten wieder, wenn Kopien gebündelt über benachbarte Adressbereiche eintreffen. In manchen Fällen waren die Bedingungen falsch, die eine erneute Validierung hätten auslösen sollen. Daraus ergeben sich zwei getrennte Fehler. Beim ersten, CVE-2026-102703, konnten Frame-Nummern und Grant-Referenzen verwechselt werden. Beim zweiten, CVE-2026-102704, ist das Kopieren per Frame-Nummer (statt per Grant-Referenz) nur im Speicher des Aufrufers erlaubt, doch laut Advisory saß die Prüfung, die diese Grenze durchsetzt, an der falschen Stelle im Code.

Der Umfang ist groß: Laut Advisory sind alle Versionen ab Xen 4.6 betroffen, 4.5 und ältere sind nicht verwundbar. Das Xen Project gibt an, dass keine Gegenmaßnahme bekannt ist. Die beigefügten Patches decken xen-unstable bis zur Serie 4.19.x sowie die Serien 4.18.x bis 4.17.x ab. Für die Versionen 4.6 bis 4.16 nennt das Advisory weder Korrekturen noch nummerierte Fix-Releases. Am selben Tag veröffentlichte Qubes OS, das genau auf der von Xen garantierten Isolation aufbaut, das Bulletin QSB-121. Darin heißt es, dass alle unterstützten Releases und Konfigurationen betroffen sind und ein bösartiger Qube den Speicher anderer Qubes lesen und beschreiben kann, dom0 eingeschlossen. Für Qubes 4.3 nennt das Bulletin als Korrektur die Xen-Pakete 4.19.6-3 in dom0, gefolgt von einem Neustart. Ob bereits aktive Exploits existieren, ist derzeit unklar.

Im Credits-Abschnitt des Xen-Advisorys heißt es, die Lücke sei von Anthropic mithilfe von Claude entdeckt, dann von einem Forscher von Ada Logics validiert und später unabhängig davon vom CodeAnt AI Security Research Team gemeldet worden. Das Bulletin QSB-121 verweist für die Namen der Melder auf das ursprüngliche Advisory, ohne sie zu nennen. Das Advisory belässt es bei der Formel "Anthropic using Claude": Es sagt weder, welches Modell oder welche Version zum Einsatz kam, noch ob die Arbeit autonom oder von Forschern gesteuert war. In den Beiträgen des Frontier Red Team von Anthropic, die wir einsehen konnten, fanden wir keine Beschreibung der Methode. Den Inhalt der ersten Version des Advisorys haben wir zudem nicht geprüft.

Nach dem Fall php2shell, bei dem es um PHP ging, verlagert sich das Geschehen nun auf die Virtualisierung, die Schicht, auf der mehrere Cloud-Anbieter und Systeme wie Qubes OS aufbauen. Was das Xen-Advisory dokumentiert, ist eine Zuschreibung: eine Entdeckung, die Anthropic und seinem Modell zugeschrieben wird, von einem Forscher von Ada Logics bestätigt und von einer anderen Gruppe eigenständig wiedergefunden. Wie man dorthin gelangt ist, sagt bislang keine der Quellen. Wer Xen-Hosts betreibt, hat derweil eine nüchternere und dringlichere Gewissheit: Laut Advisory gibt es keine Gegenmaßnahme, und wer auf Versionen vor 4.17 bleibt, findet keine aufgeführten Patches. — Olya