Три уязвимости в платформе виртуализации XenServer 8.4 и 9 дают привилегированному пользователю гостевой виртуальной машины возможность повредить или вывести из строя сам хост. Ещё одна проблема скромнее по последствиям: непривилегированный пользователь роняет только ту машину, в которой работает. Вендор относит весь набор к уровню High, то есть к уязвимостям высокой степени опасности. Исправления уже лежат в каналах обновлений Early Access и Normal для обеих веток продукта.
Уязвимости гипервизора Xen в XenServer 8.4 и 9
Все четыре проблемы касаются гипервизора Xen, прослойки, которая распределяет физические ресурсы сервера между виртуальными машинами. Две связаны с обменом памятью, одна с обслуживанием этой памяти, ещё одна с аппаратной поддержкой виртуализации. Затронуты XenServer 8.4 и XenServer 9, и лишь одна уязвимость из набора проявляется исключительно в ветке 8.4.
Три уязвимости ведут к компрометации хоста
Самая заметная часть набора это состояние гонки в таблице прав доступа к памяти (grant table). Через такую таблицу виртуальные машины передают друг другу страницы памяти. Она умеет работать в двух форматах, и переключение между ними сопровождается выделением либо освобождением служебных страниц.
Если переключиться дважды подряд, сначала в один формат, затем обратно, служебные страницы сначала освобождаются, а потом выделяются заново. Адреса при этом могут измениться. Указатели, которые гипервизор рассчитал раньше, остаются в силе и ведут в никуда. Обращение по такому указателю ломает память гипервизора. Уязвимость получила идентификатор CVE-2026-79610.
Далее в этой группе идёт проблема со сбросом кэша. Ветка обработки ошибки не уменьшает счётчик ссылок на страницу памяти, когда эта страница принадлежит служебному системному домену. Страница остаётся занятой и не возвращается в оборот. Утечку ссылок можно накапливать до тех пор, пока хосту не перестанет хватать памяти. Эта уязвимость и есть та самая, что встречается только в XenServer 8.4.
Третий идентификатор вендор причисляет к тем же двум. Привилегированный пользователь гостя способен повредить хост или обрушить его. Публичных подробностей об этой уязвимости на момент публикации бюллетеня нет.
Гостевая машина падает сама
Четвёртая проблема не выходит за пределы одной виртуальной машины. Она связана с проверками, которые процессор выполняет при входе в гостя, и с трассировкой ветвлений, то есть со слежением за порядком исполняемых инструкций.
Существует корректное сочетание состояний: пошаговое выполнение, отложенная обработка прерываний и включённая трассировка. Проверки такое сочетание не пропускают, вход в виртуальную машину срывается, и гость аварийно завершается. Похожую логику уже правили после одной из прошлых проблем, однако новый частный случай остался незакрытым. Идентификатор уязвимости CVE-2026-79611.
Чтобы уронить гостя, достаточно непривилегированной учётной записи внутри него. Хост при этом не страдает, но провайдеры, которые сдают виртуальные машины клиентам, получают отказ в обслуживании у арендатора по его собственному желанию.
Как закрыть проблему
Обновления доступны в каналах Early Access и Normal для XenServer 8.4 и XenServer 9. Администраторам нужно обновить платформу из выбранного канала, порядок действий описан в документации на docs.xenserver.com. Официальных обходных мер вендор не приводит.
Пока обновление не установлено, снизить риск помогает изоляция. Чем меньше гостевых машин с недоверенной нагрузкой работает на одном хосте, тем меньше тех, кто способен дотянуться до первой группы уязвимостей. Разделение прав внутри гостя сужает круг пользователей, на которых рассчитана уязвимость с трассировкой. Следить за выходом новых бюллетеней можно по подписке на оповещения вендора.
Все четыре проблемы закрывает один выпуск. Две из них относятся к ошибкам, которые появились при исправлении более ранних уязвимостей того же механизма. Прошлые правки устраняли соседние сценарии, но оставляли ветки, о которых никто не подумал. Платформу виртуализации приходится обновлять не реже, чем гостевые системы, потому что ошибка в одном слое обмена памятью обнуляет изоляцию, на которой держится вся инфраструктура.
Ссылки
- https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697170&articleURL=XenServer_Security_Update_for_CVE_2026_79610_CVE_2026_79610_CVE_2026_102700_and_CVE_2026_102701
- https://www.cve.org/CVERecord?id=CVE-2026-79610
- https://www.cve.org/CVERecord?id=CVE-2026-102700
- https://www.cve.org/CVERecord?id=CVE-2026-79611
