Xenのgrant copyに脆弱性、Claudeを使って発見　Dom0にも危険

11月3日12:00（UTC）、Xen Project Security TeamはアドバイザリーXSA-523の第2版を公開した。タイトルは"arbitrary read/write via grant copy"で、Openwallのoss-securityメーリングリストにも流された。対象はCVE-2026-102703とCVE-2026-102704の2件で、ハイパーバイザーの本分である「同じホストを共有する仮想マシン同士を分離しておくこと」の核心に関わる。アドバイザリーによれば、悪意あるゲストは他のドメインに属する任意のメモリを読み書きでき、その中には制御ドメインであるDom0も含まれる。

弱点はgrant copy、つまりXenが仮想マシン間でデータをコピーする処理にある。アドバイザリーの説明では、隣接するアドレス範囲へのコピーがまとめて届くと、Xenは計算済みの検証データを再利用する。ところが一部のケースで、検証をやり直させるべき条件が誤っていた。そこから2つの別々の欠陥が生じる。1つ目のCVE-2026-102703では、フレーム番号とgrant referenceが取り違えられる可能性があった。2つ目のCVE-2026-102704では、（grant referenceではなく）フレーム番号によるコピーは呼び出し側自身のメモリに対してしか許されないが、アドバイザリーによれば、この制限を課すチェックがコード上の誤った位置にあった。

影響範囲は広い。アドバイザリーによれば、Xen 4.6以降のすべてのバージョンが影響を受け、4.5以前は脆弱ではない。Xen Projectは、既知の緩和策は存在しないとしている。添付パッチはxen-unstableから4.19.x系まで、および4.18.x系から4.17.x系までをカバーする。4.6から4.16までについては、アドバイザリーに修正の記載はなく、番号付きの修正リリースも示されていない。同じ日、まさにXenによる分離の上に成り立つQubes OSが、セキュリティ告知QSB-121を公開した。そこには、サポート対象のすべてのリリースと構成が影響を受け、悪意あるqubeがdom0を含む他のqubeのメモリを読み書きできると書かれている。Qubes 4.3向けに告知が示す修正は、dom0でのXen 4.19.6-3パッケージの適用と、その後の再起動だ。現時点では、実際に悪用されているエクスプロイトがあるかどうかは分かっていない。

Xenのアドバイザリーのクレジット欄によると、この欠陥はAnthropicがClaudeを使って発見し、その後Ada Logicsの研究者が検証し、さらにCodeAnt AI Security Research Teamが独立に報告した。QSB-121は報告者の名前を挙げず、元のアドバイザリーを参照するよう示している。アドバイザリーの記述は"Anthropic using Claude"という一文にとどまり、どのモデルやバージョンが使われたのか、作業が自律的だったのか研究者の指示によるものだったのかは明らかにしていない。私たちが確認できたAnthropicのFrontier Red Teamの投稿の中にも、手法の説明は見当たらなかった。また、アドバイザリー第1版の内容は確認していない。

PHPに関するphp2shellの件に続き、今回は舞台が仮想化に移った。複数のクラウド事業者やQubes OSのようなシステムが土台にしている層だ。Xenのアドバイザリーが記録しているのはクレジットである。Anthropicとそのモデルに帰された発見であり、Ada Logicsの研究者が確認し、別のチームが独自に再発見した。どうやってそこにたどり着いたのかは、今のところどの情報源も語っていない。一方、Xenホストを管理する人には、もっと地味で、もっと差し迫った確かな事実がある。アドバイザリーによれば緩和策はなく、4.17より前のバージョンにとどまる人に向けたパッチは記載されていない。 — Olya