CVE-2026-79608
Publiée le 2026-10-13 · Dernière modification le 2026-10-20
L'hyperviseur Xen est affecté par une erreur logique dans le code destiné à atténuer « Zenbleed », une faille matérielle présente dans les processeurs AMD. Ce logiciel gère des machines virtuelles, permettant à plusieurs systèmes d'exploitation invités isolés de s'exécuter sur un seul serveur physique. En raison d'une instruction conditionnelle inversée dans une mise à jour récente, la solution de contournement de sécurité est appliquée incorrectement, laissant le système exposé à la faille du processeur sous-jacente.
Un attaquant peut exploiter cette vulnérabilité à distance, sans aucune authentification ni interaction de l'utilisateur. En cas de succès, cela lui permet de fuiter des données sensibles de la mémoire du processeur, compromettant potentiellement la confidentialité, l'intégrité et la disponibilité de l'ensemble de l'hôte et de ses invités. Comme l'attaque ne nécessite aucun privilège particulier et est techniquement simple à exécuter via un réseau, le risque est élevé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The workaround for XSA-433 (Zenbleed, CVE-2023-20593) was later re-worked to better integrate with other manipulations of the same MSR. In this rework an inverted conditional was introduced, resulting in the workaround to not be applied when needed and vice versa. For more details, see: http://xenbits.xen.org/xsa/advisory-433.html