Zum Inhalt springen
Centoculus

Sicherheitswarnung · Hoch

Xen-Hypervisor-Schwachstellen erlauben einem bösartigen Gast den Zugriff auf den Speicher anderer VMs

· 3 Minuten Lesezeit · Centoculus Security Team

Bekannt seit

Betroffen: Xen-Hypervisor, alle Versionen ab 4.6

Was ist passiert

Am 4. November 2026 wurden zwei Schwachstellen im Xen-Hypervisor öffentlich gemacht. Sie erlauben einer bösartigen Gast-virtuellen Maschine den Zugriff auf den Speicher anderer virtueller Maschinen auf demselben Host, einschließlich dom0, der privilegierten Kontrolldomäne. Laut dem Bericht kann ein Angreifer in einem Gast diesen Speicher sowohl lesen als auch beschreiben.

Patches sind verfügbar. Es gibt keine Gegenmaßnahme und keinen Workaround, daher ist das Einspielen der Patches der einzige Schutz. Eine aktive Ausnutzung wurde bisher nicht gemeldet.

Wer betroffen ist

Alle Xen-Versionen ab 4.6 sind betroffen. Dies betrifft:

  • Administratoren und Hosting-Anbieter, die Xen-Hosts betreiben, entweder direkt oder über Xen-basierte Plattformen und Distributionen.
  • Alle, die VMs für unterschiedliche Kunden oder Vertrauensstufen auf demselben Xen-Host betreiben. Ein einzelner kompromittierter oder bösartiger Gast könnte auf die Daten jedes anderen Gastes und von dom0 zugreifen.
  • Kunden von VPS- oder Cloud-Anbietern, die Xen einsetzen. Diese Kunden können den Host nicht selbst absichern und sind auf ihren Anbieter angewiesen, der patchen muss.

Das Risiko ist dort am höchsten, wo nicht vertrauenswürdige Parteien Gäste kontrollieren, etwa bei Shared Hosting oder öffentlichen VPS-Angeboten. Hosts, auf denen nur eigene, vertrauenswürdige VMs laufen, sind weniger gefährdet. Sie sollten dennoch gepatcht werden, da ein kompromittierter Gast zum Einstiegspunkt für jede andere VM auf dem Host werden kann.

Was Sie jetzt tun sollten

  1. Erstellen Sie eine Liste aller Hosts, auf denen Xen läuft, einschließlich jener, die über Xen-basierte Virtualisierungsplattformen verwaltet werden.
  2. Prüfen Sie die Xen-Sicherheitshinweise des Xen-Projekts sowie den Hinweis Ihrer Distribution oder Ihres Plattformanbieters (unten verlinkt) auf die gepatchten Versionen für Ihren Release-Stand. Gepatchte Versionsnummern sind in unseren Quelldaten nicht enthalten.
  3. Sichern Sie die Host-Konfiguration, etwa die Xen- und Toolstack-Konfiguration sowie die Konfigurationsdateien der Domänen.
  4. Migrieren Sie die Gäste oder planen Sie eine Ausfallzeit ein. Ein Hypervisor-Update wird erst wirksam, nachdem der Host neu gestartet wurde.
  5. Installieren Sie die gepatchten Xen-Pakete Ihrer Distribution oder Ihres Anbieters oder wenden Sie die Upstream-Patches an und bauen Sie Xen neu, falls Sie es selbst kompilieren.
  6. Starten Sie den Host in den gepatchten Hypervisor neu, starten Sie anschließend die Gäste und prüfen Sie, ob sie normal laufen.
  7. Patchen Sie zuerst Hosts, auf denen Gäste nicht vertrauenswürdiger Parteien laufen.
  8. Wenn Sie Xen-basierte VPS mieten, fragen Sie Ihren Anbieter, ob und wann seine Hosts gepatcht wurden.

So prüfen Sie, ob Sie betroffen sind

  • Führen Sie auf einem Xen-Host in dom0 den Befehl xl info aus und prüfen Sie die Zeilen xen_major, xen_minor und xen_extra. Jede Version ab 4.6 ist betroffen, sofern sie die Patches nicht enthält.
  • Vergleichen Sie die installierte Xen-Paketversion mit der gepatchten Version aus dem Hinweis Ihrer Distribution oder Ihres Anbieters. Auf Debian oder Ubuntu können Sie dies mit dpkg -l | grep xen prüfen, auf RHEL-artigen Systemen mit rpm -qa | grep xen.
  • Prüfen Sie nach der Installation des Updates, ob der Host tatsächlich in den neuen Hypervisor neu gestartet wurde. Führen Sie dazu xl info erneut aus und kontrollieren Sie die Uptime.
  • Innerhalb eines Gastes gibt systemd-detect-virt den Wert xen zurück, wenn Sie auf Xen laufen. In diesem Fall liegt die Verantwortung für das Patchen beim Betreiber des Hosts.

Quellen

Weitere Beiträge