Xen Project Xen: Rechteausweitung über XPTI auf Systemen mit viel Arbeitsspeicher

Zusammenfassung

Eine Schwachstelle im XPTI-Feature (Xen Page Table Isolation) des Xen-Hypervisors betrifft x86-Systeme mit Arbeitsspeicher oberhalb der 5-TiB-Grenze (3.5 TiB bei CONFIG_BIGMEM=y). Ein bösartiger 64-Bit-paravirtualisierter (PV) Gast kann sie ausnutzen, um seine Rechte auf jene des Hosts zu erhöhen, Informationen anderer Gäste einzusehen oder einen Denial of Service für den gesamten Host auszulösen. Der Angreifer benötigt lokalen Zugriff als Benutzer mit niedrigen Rechten innerhalb eines Gasts auf demselben Host.

Betroffen

• Xen-Versionen mit nachträglich zurückportierter XPTI-Funktionalität (upstream: Xen 4.7.5 und neuer, 4.8.3 und neuer, 4.9.2 und neuer, 4.10.1 und neuer sowie alle Hauptversionen ab 4.11)
• Nur x86-Systeme mit Arbeitsspeicher oberhalb von 5 TiB (CONFIG_BIGMEM=y: 3.5 TiB)
• Nur 64-Bit-PV-Gäste; HVM- und PVH-Gäste sind nicht betroffen
• Arm-Systeme sind nicht betroffen

Behoben in

• xsa516.patch für xen-unstable (Xen 4.19.x)
• xsa516-4.18.patch für Xen 4.18.x
• xsa516-4.17.patch für Xen 4.17.x
• Distributionen haben Korrekturen veröffentlicht (zum Beispiel SUSE, Debian, Alpine); Advisory des Distributors prüfen
• Unbekannt für Xen 4.16 und älter ohne Backports der Distributionen

Umgehung

• Keine 64-Bit-PV-Gäste betreiben
• Den Speicher von Xen mit der Hypervisor-Option mem= begrenzen: mem=5T (CONFIG_BIGMEM=n) oder mem=3584G (CONFIG_BIGMEM=y)

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar
• Keine bekannte Ausnutzung in freier Wildbahn; zum Zeitpunkt der Recherche kein öffentlicher Exploit bekannt

Unsere Empfehlung

• Prüfen, ob Xen-Hosts 64-Bit-PV-Gäste betreiben oder mehr als 5 TiB Arbeitsspeicher haben
• Die korrigierten Xen-Pakete des Distributors installieren, sobald sie verfügbar sind
• Wo möglich PV-Gäste als zusätzliche Verteidigungsebene auf PVH oder HVM migrieren
• Die Berechtigung zum Erstellen und Steuern von Gästen auf gemeinsam genutzten Hosts einschränken

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• XSA-516 Xen Security Advisory xenbits.xenproject.org
• SUSE CVE entry (SUSECVE-CVE-2026-79609) vulners.com
• Debian CVE entry (DEBIANCVE-CVE-2026-79609) vulners.com
• Alpine OSV entry (ALPINE-CVE-2026-79609) osv.dev
• Ubuntu security CVE page ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:06.