Skip to content
Hacker Posts

Xen XSA-523 : lecture/écriture arbitraire entre domaines via grant copy

Le CERT-FR relaie XSA-523 : deux failles de l'opération grant copy de Xen (CVE-2026-102703, CVE-2026-102704) laissent un invité lire et écrire la mémoire d'autres domaines, dont Dom0.

Publié le 2 min de lecture
alertexencvevirtualisation

Le projet Xen a publié l'avis XSA-523, relayé le 3 novembre par le CERT-FR dans l'avis CERTFR-2026-AVI-1447. Deux vulnérabilités dans l'opération grant copy — CVE-2026-102703 et CVE-2026-102704 — permettent à un invité malveillant de lire et d'écrire la mémoire d'autres domaines, y compris Dom0. Aucun contournement n'existe : le correctif est la seule réponse.

Le bug

Quand un lot d'opérations grant copy porte sur des plages d'adresses adjacentes, Xen réutilise des données déjà validées et mises en cache. Les conditions de revalidation étaient fausses dans deux cas :

  • CVE-2026-102703 : des numéros de trame (frame numbers) et des références de grant pouvaient être confondus.
  • CVE-2026-102704 : la vérification qui limite les copies de numéros de trame à la mémoire du seul appelant était mal placée.

Résultat décrit par l'éditeur : lecture et écriture arbitraires. Un invité peut donc atteindre la mémoire d'autres domaines, dont celle de Dom0 — soit, sur un hôte mutualisé, une sortie de l'isolation entre machines virtuelles.

Versions affectées

D'après XSA-523, « toutes les versions de Xen à partir de 4.6 sont vulnérables ». Les versions 4.5 et antérieures ne le sont pas.

Que faire

  1. Appliquer les correctifs XSA-523. Pour xen-unstable et 4.19.x : xsa523-1.patch et xsa523-2.patch. Pour les branches 4.18.x à 4.17.x : xsa523-4.18-1.patch et xsa523-4.18-2.patch.
  2. Mettre d'abord l'hôte à jour vers la tête de sa branche stable. L'avis prévient que les correctifs peuvent ne pas s'appliquer proprement sur la dernière archive publiée.
  3. Prioriser les hyperviseurs mutualisés. Partout où des invités de locataires différents partagent un hôte, l'absence de contournement fait de la mémoire de Dom0 une cible directe depuis un invité.
  4. Attendre les paquets de votre distribution (ou de votre fournisseur cloud) si vous ne compilez pas Xen vous-même, et suivre son bulletin de sécurité pour les versions corrigées.

Contexte

Les primitives de partage de mémoire de Xen — la grant table et ses opérations de copie — sont une surface récurrente : elles existent précisément pour qu'un domaine donne accès à des pages à un autre, et chaque erreur de validation y revient à franchir la frontière entre invités. XSA-523 n'implique pas d'exploitation observée à ce stade, mais sur un parc mutualisé, une faille d'isolation sans contournement se corrige en priorité, pas à la prochaine fenêtre de maintenance.

Articles liés