Das Xen Security Advisory CVE-2015-7835 beschreibt den bislang wohl gravierendsten Bug für den Xen-Hypervisor. Böswillige Admins können in der Paravirtualisierung Read-only-Pages beschreibbar machen.
Auf der Mailingliste für die Xen-basierte und sehr sichere Distribution Qubes ist vom bislang wohl schlimmsten Hypervisor-Bug die Rede. Er sei subtil, weil es keinen sofort erkennbaren fehlerhaften Code gebe, stecke aber seit der Einführung von Superpages im Code, seit November 2008.
Bösartige Guest-Admins können über Super Page Mappings beschreibbare Mappings erzeugen und diese an der Level-2-Validierung für Page Tables (“mod_l2_entry()”) vorbei schmuggeln. Auf diesem Weg wird die komplette L1-Table für einen Angreifer lesbar und beschreibbar. Nun kann er Xen die manipulierten Speicherinhalte als valide Page Table Entrys unterjubeln und vom Gast aus auf den Systemspeicher des Hosts zugreifen.
Es sei aus sicherheitstechnischer Sicht besorgniserregend, dass das Xen-Projekt in den letzten sieben Jahren so viel Zeit in neue Features gesteckt habe und so wenig in die Sicherheit. Xen sollte seine Coding-Guidelines und Programmierpraxis überarbeiten, schlagen die Qubes-Entwickler vor.
Sie kritisieren weiter, dass solche Fehler in einem Type-1-Hypervisor dieses Alters nicht passieren dürften. Zugleich betrachten sie den Bug als Argument dafür, künftig auf paravirtualisierte VMs zu verzichten und gleich zu Vollvirtualisierung (HVM) oder auf paravirtualisierte Hardware (PVH) zu wechseln. Letzteres jedoch nur, die darunterliegenden Prozessoren Second Level Address Translation (SLAT) unterstützen.
Verwundbar sind laut Advisory Xen-Versionen ab 3.4, die auf x86-Systemen laufen, wobei sowohl PV-Gäste auf 32- und auf 64-Bit-Systemen die Lücke ausnutzen können. Auf ARM-Systemen hat der Bug keine Auswirkungen. Die Entwickler empfehlen den Wechsel zu HVM-Gästen, nur der Host sollte den Kernel des Gastsystems kontrollieren dürfen.
