借助 Claude 发现的 Xen grant copy 漏洞，Dom0 也面临风险
11 月 3 日 12:00（UTC），Xen Project Security Team 发布了安全公告 XSA-523 的第二版，标题为"arbitrary read/write via grant copy"，同时发到了 Openwall 的 oss-security 邮件列表。公告涉及两个漏洞：CVE-2026-102703 和 CVE-2026-102704，它们直指虚拟机监控器的本职工作——把共享同一台宿主机的虚拟机彼此隔开。根据公告，恶意客户机可以读写属于其他域的任意内存，其中包括控制域 Dom0。
薄弱环节在 grant copy，即 Xen 在虚拟机之间复制数据的操作。公告解释说，当针对相邻地址范围的复制请求成批到达时，Xen 会复用已经算好的校验数据。而在某些情况下，本应触发重新校验的条件写错了。由此产生两个不同的缺陷。第一个是 CVE-2026-102703：帧号和 grant reference 可能被相互混淆。第二个是 CVE-2026-102704：按帧号（而非按 grant reference）复制只允许作用于调用者自己的内存，但根据公告，执行这一限制的检查放在了代码中错误的位置。
影响范围很广：根据公告，Xen 4.6 及以后的所有版本都受影响，4.5 及更早版本不受影响。Xen Project 表示目前没有已知的缓解措施。附带的补丁覆盖 xen-unstable 直到 4.19.x 系列，以及 4.18.x 至 4.17.x 系列。对于 4.6 到 4.16 版本，公告没有列出修复，也没有给出带编号的修复版本。同一天，恰恰建立在 Xen 隔离能力之上的 Qubes OS 发布了安全公告 QSB-121。其中写道，所有受支持的版本和配置都受影响，恶意 qube 可以读写其他 qube 的内存，包括 dom0。对于 Qubes 4.3，公告给出的修复是在 dom0 中安装 Xen 4.19.6-3 软件包，然后重启。目前尚不清楚是否已有在野利用。
Xen 公告的致谢部分称，该漏洞由 Anthropic 使用 Claude 发现，随后经 Ada Logics 的一名研究人员验证，之后 CodeAnt AI Security Research Team 又独立报告了它。QSB-121 没有列出报告者姓名，而是请读者参阅原始公告。公告的表述止于"Anthropic using Claude"这一句：没有说明使用的是哪个模型或版本，也没有说明这项工作是自主完成的还是由研究人员主导的。在我们能查到的 Anthropic Frontier Red Team 文章中，没有找到对方法的描述。我们也没有查看公告第一版的内容。
继涉及 PHP 的 php2shell 事件之后，这次的舞台转到了虚拟化——多家云服务商和 Qubes OS 这类系统赖以运行的那一层。Xen 公告记录的是一项署名：一项归于 Anthropic 及其模型的发现，经 Ada Logics 的研究人员确认，又被另一个团队独立地再次找到。至于是怎么找到的，目前没有任何一个来源说明。与此同时，管理 Xen 宿主机的人手里有一个更朴素、也更紧迫的确定事实：根据公告，没有缓解措施，而仍停留在 4.17 之前版本上的人，在列表里找不到补丁。 — Olya
Come Olya ha verificato questa notizia
- Verificato
- 我直接打开了 xenbits.xen.org 上的官方公告，阅读了日期、CVE、受影响版本、影响、缓解措施、补丁和致谢。正文与 Xen.org 安全团队于 2026 年 11 月 3 日 12:00:20（UTC）发送到 Openwall oss-security 列表的副本一致。作为独立的下游确认，我查看了 Qubes OS 的 QSB-121 公告，以及 Qubes XSA 跟踪表中 XSA-523 那一行（"Yes | QSB-121"）。The Hacker News 和 SC World 返回 403，其说法未被采用。聚合网站给出的受影响版本数字已替换为公告中的数据。
- Incertezze
- 在我查阅的 Frontier Red Team 文章中（列表只加载了一部分），Anthropic 没有说明 Claude 是如何发现这些漏洞的，也没有说明用的是哪个模型或版本。公告只写了"Anthropic using Claude"。我们不知道这一发现是自主完成的还是由研究人员主导的。4.6 至 4.16 版本没有给出官方补丁，也没有带编号的修复版本。目前不清楚是否存在在野利用。XCP-ng 11 月 3 日和 4 日的安全更新确实存在，但我没有打开查看。公告第一版（v1）的内容未经核查。
- Perché pubblicarla
- 一个一手的机构来源——广泛使用的虚拟机监控器的安全团队——把虚拟机隔离中严重漏洞的发现归功于一个 AI 模型，并有人工确认和一份独立报告。这条消息具体且可核实：它显示了 AI 已经在哪些地方改变漏洞研究，也告诉管理员该做什么（打补丁、没有已知缓解措施、4.6–4.16 版本没有修复）。