XenSource Xen до 4.6.0 Mapping arch/x86/mm.c mod_l2_entry эскалация привилегий

CVSS Meta Temp ScoreТекущая цена эксплуатации (≈)Балл интереса CTI
5.2$0-$5k0.00

Уязвимость была найдена в XenSource Xen. Она была классифицирована как критический. Затронута функция mod_l2_entry файла arch/x86/mm.c компонента Mapping Handler. Определение CWE для уязвимости следующее CWE-20. Вопрос введен в 05.11.2008. Консультация представлена на сайте xenbits.xen.org.

Эта уязвимость однозначно идентифицируется как CVE-2015-7835. Назначение CVE произошло 14.10.2015. Имеются технические подробности. Популярность этой уязвимости выше среднего. Эксплойт отсутствует. Текущая цена за эксплойт может составлять около USD $0-$5k в настоящее время. Причиной этой уязвимости является эта часть кода:

if ( l2e_get_flags(nl2e) & _PAGE_PRESENT )
   {
      if ( unlikely(l2e_get_flags(nl2e) & L2_DISALLOW_MASK) )
         {
            //...
         }
Консультация указывает:
We see the attacker might request setting of the (PSE | RW) bits in the L2 PDE (which is possible thanks to L2_DISALLOW_MASK not excluding the PSE bit, something which has been added to support the superpage mappings for the PV guests), thus making the whole L1 table accessible to the guest with R/W rights (now seen as a large 2MB page), and modify one or more of the PTEs there to point to an arbitrary MFN the attacker feels like having access to. Now that would not be all fatal, if the attacker had no way of tricking Xen into treating this (now under the attacker's control) super-page back as a valid table of PTEs. Sadly, there is nothing to stop her from doing that. Thus we end up with Xen now treating the attacker-filled memory as a set of valid PTEs for the (PV) guest. This means the guest, by referencing the addresses mapped by these pages, is now really accessing whatever MFNs the attacker decided to write into the PTEs. In other words, the guest can access now all the system's memory. Reliably. The attack works irrespectively of whether the opt_allow_superpage is true or not.

Уязвимость обрабатывалась как непубличный эксплойт нулевого дня в течение как минимум 2549 дней. Мы ожидаем, что 0-день стоил приблизительно $25k-$100k. Сканер уязвимостей Nessus предоставляет плагин с ID 86700 (Debian DSA-3390-1 : xen - security update), который помогает определить наличие изъяна в целевой среде. Он относится к семейству Debian Local Security Checks. Плагин работает в контексте типа l. Коммерческий сканер уязвимостей Qualys способен проверить эту проблему с помощью плагина 370027 (Citrix XenServer Security Update (CTX202404)).

Рекомендуется применить исправление для устранения этой проблемы.

Эта уязвимость также документирована в других базах данных уязвимостей: SecurityFocus (BID 77366), X-Force (107667), Vulnerability Center (SBV-54040) и Tenable (86700).

ПродуктИнформация

Тип

Поставщик

Имя

Версия

Лицензия

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Вектор: 🔍
VulDB Надежность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 5.9
VulDB Meta Temp Score: 5.2

VulDB Базовый балл: 5.9
VulDB Временная оценка: 5.2
VulDB Вектор: 🔍
VulDB Надежность: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
разблокироватьразблокироватьразблокироватьразблокироватьразблокироватьразблокировать
разблокироватьразблокироватьразблокироватьразблокироватьразблокироватьразблокировать
разблокироватьразблокироватьразблокироватьразблокироватьразблокироватьразблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надежность: 🔍

NVD Базовый балл: 🔍

ЭксплуатацияИнформация

Класс: эскалация привилегий
CWE: CWE-20
ATT&CK: Неизвестно

Локальный: Да
Удаленный: Нет

Доступность: 🔍
Статус: Недоказанный

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогнозирование цены: 🔍
Оценка текущей цены: 🔍

0-Dayразблокироватьразблокироватьразблокироватьразблокировать
Сегодняразблокироватьразблокироватьразблокироватьразблокировать

Nessus ID: 86700
Nessus Имя: Debian DSA-3390-1 : xen - security update
Nessus Файл: 🔍
Nessus Риск: 🔍
Nessus Семейство: 🔍
Nessus Context: 🔍

OpenVAS ID: 703390
OpenVAS Имя: Debian Security Advisory DSA 3390-1 (xen - security update)
OpenVAS Файл: 🔍
OpenVAS Семейство: 🔍

Qualys ID: 🔍
Qualys Имя: 🔍

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендуется: Патч
Статус: 🔍

Время реакции: 🔍
0-дневное время: 🔍
Время эксплойта: 🔍

Временная шкалаИнформация

05.11.2008 🔍
14.10.2015 +2534 дни 🔍
29.10.2015 +15 дни 🔍
29.10.2015 +0 дни 🔍
29.10.2015 +0 дни 🔍
29.10.2015 +0 дни 🔍
30.10.2015 +1 дни 🔍
30.10.2015 +0 дни 🔍
30.10.2015 +0 дни 🔍
03.11.2015 +4 дни 🔍
25.06.2022 +2426 дни 🔍

ИсточникиИнформация

Поставщик: citrix.com

Консультация: XSA-148
Исследователь: Alibaba
Организация: Xen Security Team
Статус: Подтвержденный
Подтверждение: 🔍

CVE: CVE-2015-7835 (🔍)
OVAL: 🔍

X-Force: 107667 - Xen mappings privilege escalation
SecurityTracker: 1034032
Vulnerability Center: 54040 - Xen Local Privilege Escalation via a PV Guest Access, High
SecurityFocus: 77366 - Xen CVE-2015-7835 Privilege Escalation Vulnerability

Разное: 🔍
Смотрите также: 🔍

ВходИнформация

Создано: 30.10.2015 09:38
Обновлено: 25.06.2022 14:18
Изменения: 30.10.2015 09:38 (91), 02.12.2018 09:54 (2), 25.06.2022 14:18 (3)
Завершить: 🔍

Обсуждение

Комментариев пока нет. Языки: ru + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Do you need the next level of professionalism?

Upgrade your account now!