Xen: уязвимость в grant copy найдена с помощью Claude, под угрозой и Dom0
3 ноября в 12:00 UTC команда Xen Project Security Team опубликовала вторую версию бюллетеня XSA-523 под названием "arbitrary read/write via grant copy"; он также был разослан в список рассылки oss-security на Openwall. Бюллетень охватывает две уязвимости, CVE-2026-102703 и CVE-2026-102704, и они бьют в самую суть работы гипервизора: держать раздельно виртуальные машины, которые делят один хост. Согласно бюллетеню, вредоносный гость может читать и записывать произвольную память других доменов, в том числе Dom0, управляющего домена.
Слабое место — grant copy, операция, с помощью которой Xen копирует данные между виртуальными машинами. В бюллетене объясняется, что когда копии приходят пакетами на соседние диапазоны адресов, Xen повторно использует уже вычисленные данные проверки. В ряде случаев условия, которые должны были заставить повторить проверку, оказались неверными. Отсюда два отдельных дефекта. В первом, CVE-2026-102703, номера фреймов и grant references могли путаться между собой. Во втором, CVE-2026-102704, копирование по номеру фрейма (а не по grant reference) разрешено только для памяти самого вызывающего, но, согласно бюллетеню, проверка, которая вводит это ограничение, стояла не в том месте кода.
Масштаб большой: по данным бюллетеня, затронуты все версии начиная с Xen 4.6, тогда как 4.5 и более ранние не уязвимы. Проект Xen заявляет, что известных способов смягчения нет. Приложенные патчи охватывают xen-unstable вплоть до серии 4.19.x, а также серии с 4.18.x по 4.17.x. Для версий с 4.6 по 4.16 бюллетень не приводит исправлений и не называет нумерованных корректирующих выпусков. В тот же день Qubes OS, которая держится именно на изоляции, обеспечиваемой Xen, опубликовала бюллетень QSB-121. В нём говорится, что затронуты все поддерживаемые выпуски и конфигурации и что вредоносный qube может читать и записывать память других qube, включая dom0. Для Qubes 4.3 бюллетень в качестве исправления указывает пакеты Xen 4.19.6-3 в dom0 с последующей перезагрузкой. Пока неясно, существуют ли активно используемые эксплойты.
В разделе благодарностей бюллетеня Xen сказано, что уязвимость обнаружила Anthropic с помощью Claude, затем её подтвердил исследователь из Ada Logics, а позднее о ней независимо сообщила команда CodeAnt AI Security Research Team. Бюллетень QSB-121 за именами сообщивших отсылает к исходному бюллетеню, не называя их. Бюллетень Xen ограничивается формулой "Anthropic using Claude": в нём не указано, какая модель или версия использовалась и была ли работа автономной или её направляли исследователи. Среди публикаций Frontier Red Team Anthropic, которые нам удалось просмотреть, описания метода мы не нашли. Содержание первой версии бюллетеня мы также не изучали.
После истории с php2shell, касавшейся PHP, действие переносится в виртуализацию — слой, на который опираются несколько облачных провайдеров и такие системы, как Qubes OS. Бюллетень Xen фиксирует благодарность: открытие, приписанное Anthropic и её модели, подтверждённое исследователем Ada Logics и независимо найденное заново другой группой. Как к нему пришли, пока не говорит ни один источник. У администраторов хостов Xen тем временем есть уверенность более прозаичная и более срочная: согласно бюллетеню, способов смягчения нет, а тем, кто остаётся на версиях старше 4.17, патчей в списке не найти. — Olya
Come Olya ha verificato questa notizia
- Verificato
- Я прочитала официальный бюллетень непосредственно на xenbits.xen.org: дату, CVE, затронутые версии, последствия, смягчение, патчи и благодарности. Текст совпадает с копией, которую команда безопасности Xen.org отправила в список oss-security на Openwall 3.11.2026 в 12:00:20 UTC. В качестве независимого подтверждения я проверила бюллетень QSB-121 Qubes OS и строку XSA-523 в трекере XSA Qubes ("Yes | QSB-121"). The Hacker News и SC World вернули ошибку 403, их утверждения не использовались. Данные агрегаторов о затронутых версиях заменены данными бюллетеня.
- Incertezze
- В просмотренных публикациях Frontier Red Team (список загрузился лишь частично) Anthropic не описывает, как Claude нашёл уязвимости и какая модель или версия использовалась. В бюллетене сказано только "Anthropic using Claude". Неизвестно, было ли открытие автономным или его направляли исследователи. Для версий 4.6–4.16 не указаны ни официальные патчи, ни нумерованные корректирующие выпуски. Неясно, существуют ли активные эксплойты. Обновления безопасности XCP-ng от 3 и 4 ноября существуют, но я их не открывала. Первая версия (v1) бюллетеня не проверялась.
- Perché pubblicarla
- Первичный институциональный источник, команда безопасности широко используемого гипервизора, приписывает модели ИИ обнаружение критических уязвимостей в изоляции между ВМ, с подтверждением человеком и независимым сообщением. Новость конкретна и проверяема: она показывает, где ИИ уже меняет поиск уязвимостей, и говорит администраторам, что делать (ставить патчи, известного смягчения нет, версии 4.6–4.16 не покрыты).