🔴 《严重安全漏洞：CVE-2026-23560》

CVSS 评分: 严重（9.4）　　状态: Deferred　　发布时间: 2026-07-09

漏洞简介

本 CNA 信息记录涉及多个 CVE 漏洞，以下说明将详细阐述每个漏洞对应的具体方面。XAPI 使用基于角色的访问控制（Role Based Access Control, RBAC）为不同用户配置不同角色。详细信息可参考：

https://docs.xenserver.com/en-us/xencenter/current-release/rbac-overview.html#rbac-roles

其中，pool-admin 角色拥有完全权限。值得注意的是，具有此角色的用户还可以通过 SSH 以 root 身份登录主机。其他管理员角色包括 pool-operator、vm-power-admin 和 vm-admin，每个角色均被授权配置和管理系统的不同方面。

然而，某些设置的权限限制不足，可以被低于预期权限的管理员设置。具体漏洞如下：

  • CVE-2026-23559：vm-admin 可以设置 VBD.other_config:backend-local，并将 dom0 中的任意文件转换为 VDI（虚拟磁盘），然后将这些磁盘分配给其控制的虚拟机（VM）。这会导致对 dom0 中文件的任意读取和/或修改。
  • CVE-2026-23560：vm-admin 可以设置 VM.other-config:is_system_domain，并将一个虚拟机标记为系统域（system domain）。系统域在某些主机/池操作期间会被忽略并保持运行，并且可能在工具中被隐藏显示。
  • CVE-2026-23561：vm-admin 可以设置 VM.other_config:storage_driver_domain，并将一个虚拟机标记为特定主机存储连接（PBD）的存储域。关闭该虚拟机可能导致 PBD 被错误地标记为已卸载（unplugged），而实际上并未卸载。
  • CVE-2026-23562：PCI 直通（PCI passthrough）的配置通常仅限于 pool-admin 角色。然而，有一个 API 缺少此检查，导致 vm-admin 可以访问非预期的宿主机硬件。
  • CVE-2026-42486：vm-admin 可以设置 VM.platform:hvm_serial 参数，该参数本应仅限于 pool-admin 角色使用，因为它可能导致对 dom0 文件的任意写入。

影响范围

  • 受影响软件：XenServer 中的 XAPI 组件。
  • 受影响角色：vm-admin 角色（以及其他非 pool-admin 的管理员角色）。
  • 具体版本：描述中未明确列出具体版本号，但该漏洞存在于使用上述 RBAC 机制的 XenServer 版本中。建议参考官方安全公告（XSA-489）获取详细版本信息。

风险分析

  • CVE-2026-23559：高风险。攻击者（vm-admin）可以读取和修改 dom0 中的任意文件，这可能导致敏感信息泄露、系统配置篡改，甚至完全控制宿主机。
  • CVE-2026-23560：中高风险。攻击者可以将普通虚拟机标记为系统域，使其在关键操作（如主机维护、池升级）中不被处理，从而绕过安全策略或导致服务中断。同时，隐藏的虚拟机可能被用于恶意目的而不被管理员察觉。
  • CVE-2026-23561：中风险。攻击者通过关闭被标记为存储域的虚拟机，可能导致存储连接状态错误，进而影响存储系统的稳定性和数据一致性，可能引发数据丢失或服务不可用。
  • CVE-2026-23562：高风险。攻击者可以访问非预期的宿主机硬件（如 GPU、网卡等），这可能导致硬件资源被滥用、数据泄露（例如通过 DMA 攻击）或宿主机稳定性问题。
  • CVE-2026-42486：高风险。攻击者可以通过设置 hvm_serial 参数实现对 dom0 文件的任意写入，这可能导致系统文件被篡改、植入后门或引发拒绝服务。

总结：这些漏洞允许低权限的 vm-admin 角色执行本应仅限于 pool-admin 的操作，从而提升权限并可能完全控制宿主机或破坏系统完整性。建议立即应用官方补丁或升级到修复版本。

🔍 技术细节

字段 值
CVE ID CVE-2026-23560
CVSS 评分 9.4 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-250
发布时间 2026-07-09
最后更新 2026-07-09
状态 Deferred
数据来源 security@xen.org

🔗 参考链接