Claude помог обнаружить две уязвимости Xen, нарушающие изоляцию виртуальных машин.
3 ноября проект Xen раскрыл две уязвимости в механизме Grant Copy: CVE-2026-102703 и CVE-2026-102704. Ошибки позволяют злоумышленнику, контролирующему гостевую виртуальную машину, читать и изменять память других виртуальных машин, включая управляющий домен Dom0.
- Уязвимы все версии Xen начиная с 4.6. Известных временных мер защиты нет, однако разработчики уже опубликовали исправления.
- Уязвимости обнаружила команда Anthropic с помощью Claude. Находки подтвердил Стефан Липп из Ada Logics, а команда CodeAnt независимо сообщила о тех же проблемах.
- Qubes OS подтвердила, что затронуты все поддерживаемые конфигурации. Исправление Xen 4.19.6-3 для Qubes 4.3 проходит тестирование. После его установки потребуется перезапуск Dom0.
Подтверждённых случаев эксплуатации в реальных атаках бюллетень Xen не приводит.
Ещё новости:
