Debian แก้ Xen เสี่ยงยกระดับสิทธิ์จาก VM สู่โฮสต์ DSA-6610-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6610-1 ลงวันที่ 4 พฤศจิกายน 2026 แก้ช่องโหว่ใน Xen hypervisor สองรายการ คือ CVE-2026-102703 และ CVE-2026-102704 ผมมองว่าผู้ดูแล Xen ควรตรวจรายการอัปเดต เพราะ Debian ระบุว่า guest อาจยกระดับสิทธิ์ไปถึง host หรือทำให้ข้อมูลรั่วได้

เกิดอะไรขึ้น

Xen เป็น hypervisor ที่จัดการเครื่องเสมือนหรือ guest บนโฮสต์เดียวกัน รายละเอียดใน Xen XSA-523 อธิบายว่าปัญหาอยู่ใน Grant Copy ซึ่งใช้คัดลอกข้อมูลระหว่างพื้นที่หน่วยความจำ เมื่อคัดลอกหลายช่วงที่อยู่ติดกันในหน้าเดียว Xen จะเก็บข้อมูลที่ตรวจแล้วไว้ใช้ซ้ำ แต่บางกรณีไม่ได้ตรวจข้อมูลซ้ำในจุดที่ควรตรวจ

• CVE-2026-102703 เกิดจากการสับสนระหว่างหมายเลขเฟรมหน่วยความจำกับ grant reference ซึ่งเป็นคนละรูปแบบในการอ้างถึงหน่วยความจำ
• CVE-2026-102704 เกิดจากตำแหน่งการตรวจสิทธิ์ไม่ถูกต้อง การคัดลอกโดยระบุหมายเลขเฟรมต้องอนุญาตเฉพาะหน่วยความจำของผู้เรียกเอง แต่การตรวจข้อจำกัดนี้วางไว้ผิดจุด

ผลที่ Xen ระบุคือ guest ที่มีเจตนาร้ายอาจอ่านและเขียนหน่วยความจำตำแหน่งใดก็ได้ของโดเมนอื่น รวมถึง Dom0 ซึ่งเป็นโดเมนสำหรับบริหารระบบ ผลกระทบเลยอาจข้ามจาก guest ไปถึงข้อมูลและหน่วยความจำของโดเมนอื่นได้

ใครโดนและรุ่นที่แก้

DSA-6610-1 ระบุแพตช์สำหรับ stable ชื่อ trixie โดย Debian Security Tracker แสดงรุ่นแพ็กเกจต้นทางที่ยังมีปัญหาและรุ่นที่แก้ดังนี้

เลขรุ่นในตารางเป็นรุ่นของ source package xen ส่วนแพ็กเกจที่ติดตั้งจริงอาจแยกเป็น hypervisor และส่วนประกอบอื่น ผู้ดูแลควรเทียบแพ็กเกจจากคลัง security ของ release ที่ใช้อยู่ และเก็บส่วนท้ายของเลขรุ่น Debian ไว้ในการตรวจสอบด้วย

ในภาพรวม Xen ระบุว่าช่องโหว่มีผลกับรุ่นตั้งแต่ 4.6 เป็นต้นไป ส่วน 4.5 และก่อนหน้าไม่ได้รับผลกระทบจากปัญหานี้ ให้ใช้ข้อมูลนี้ดูขอบเขตของบั๊ก อย่าย้อนกลับไปใช้ Xen รุ่นเก่าเพื่อเลี่ยงปัญหา สำหรับ Debian release อื่นควรตรวจสถานะและประกาศของ release นั้นแยกต่างหาก โดยตารางข้างต้นให้รุ่นแก้ของ trixie

ต้องทำอะไร

ให้อัปเกรดแพ็กเกจ Xen ของ release ที่ใช้อยู่ ก่อนเริ่มควรสำรองข้อมูลและเตรียมแผนดูแล guest ระหว่างการบำรุงรักษา ตรวจว่าคลัง security ของ trixie เปิดใช้งานอยู่ แล้วอัปเดตรายการแพ็กเกจและตรวจรายการอัปเกรดก่อนยืนยัน คำสั่งทั่วไปสำหรับระบบที่ใช้ APT คือ

sudo apt update
sudo apt upgrade

ถ้า xen ไม่ปรากฏในรายการอัปเดต ให้ตรวจแหล่งแพ็กเกจและนโยบาย pinning ก่อนถือว่าเครื่องได้รับการแก้แล้ว หลังติดตั้งต้องวางแผนให้โฮสต์เริ่มใช้ hypervisor ที่มีแพตช์ เช่น รีบูตตามขั้นตอนบำรุงรักษา พร้อมตรวจสถานะ guest และบริการที่เกี่ยวข้อง หลังอัปเดตแพ็กเกจ ให้ตรวจรุ่นของ hypervisor ที่กำลังทำงานด้วย

ส่วนตัวผมให้เร่งแพตช์โฮสต์ที่ใช้ Xen โดยเฉพาะเครื่องที่มี guest จากผู้ใช้ที่ไม่ไว้ใจ เพราะปัญหาข้ามขอบเขตไปถึง Dom0 ได้ ที่มา: Debian DSA-6610-1 xen - security update เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ