KVM/QEMU

Im Linux-Kernel wurde eine Schwachstelle in der KVM/SEV-Behandlung behoben: Beim Setzen der Länge des GHCB-Scratch-Bereichs wurde die maximal zulässige Länge falsch berechnet. Der Fehler betrifft die Speicherverwaltung im Kontext verschlüsselter Gäste (SEV). CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Ubuntu hat dazu Kernel-Updates veröffentlicht (USN-8593-1, USN-8603-1). Empfohlene Massnahme: die bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle in der KVM/SEV-Verarbeitung behoben. Beim Verarbeiten von Page-State-Change-(PSC)-Requests werden die Indizes nun gegen die tatsächliche Grösse des Puffers validiert. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Ubuntu adressiert die Lücke in den Kernel-Updates USN-8593-1 und USN-8603-1. Empfohlene Massnahme: die bereitgestellten Kernel-Updates einspielen.

Im KVM-Subsystem des Linux-Kernels behandelt der SEV-Pfad Port-I/O-Anfragen mit der Länge bzw. Anzahl 0 nun explizit als wirkungslos. Zuvor konnte das Setzen solcher Anfragen zu fehlerhaftem Verhalten führen. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Ubuntu hat Kernel-Updates veröffentlicht (USN-8593-1 sowie USN-8603-1 für Azure-Kernel). Empfohlene Massnahme: die bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle in der KVM-arm64-vgic-its-Emulation behoben. Der Userspace konnte einen ITS-Device-Table-Entry wiederherstellen, dessen num_eventid_bits ausserhalb des gültigen Bereichs lag. Der Fix weist solche Einträge nun zurück. CVSS-Basiswert: 9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Ubuntu hat dazu Kernel-Updates veröffentlicht (USN-8593-1, USN-8603-1). Empfohlene Massnahme: die bereitgestellten Kernel-Updates einspielen.

Der Angeet ES3 KVM bereinigt benutzerseitig eingeschleuste Variablen im Script cfg.lua nicht korrekt. Ein authentifizierter Angreifer kann dadurch OS-Befehle auf Systemebene ausführen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Die Hardware-Emulation in of_dpa_cmd_add_l2_flood des rocker-Gerätemodells in QEMU (in 7.0.0 und früher) erlaubt entfernten Angreifern, den Host-QEMU zum Absturz zu bringen und über die Ausführung eines fehlerhaften Programms im Gast-Betriebssystem potenziell Code auf dem Host auszuführen. CVSS-Basiswert: 10 (Kritisch). Hinweis: Mehrere Dritte bestreiten die Gültigkeit dieser Schwachstelle, da das rocker-Gerät nicht in den Virtualisierungs-Anwendungsfall falle.

Im KVM-x86-Code des Linux-Kernels wurde ein Use-after-free im Shadow Paging behoben, das durch eine unerwartete Rolle ausgelöst werden konnte. Die Änderung korrigiert das Verhalten eines früheren Commits zum selben Thema. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: die vom jeweiligen Distributor bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde in der x86-KVM-Implementierung eine Schwachstelle behoben: Beim Abschluss der Emulation einer Instruktion, die einen Userspace-Exit ausgelöst hatte, wurden L1-Intercepts erneut geprüft beziehungsweise fälschlich übersprungen. CVSS-Basiswert: 7.9 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

In der s390-Protected-Virtualization-Komponente von KVM im Linux-Kernel wurde ein fehlerhafter Index-Wert beim Ersetzen eines Guest-ASCE (Address Space Control Element) behoben. Laut NVD-Beschreibung muss das index-Feld der zugehörigen struct page eigentlich 0 sein, was in bestimmten Fällen nicht zutraf. Betroffen ist laut Zuordnung KVM/QEMU. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im KVM-SVM-Code des Linux-Kernels wurden die WRMSR- und HLT-Fastpaths im VM-Exit-Handler laut Fehlerbericht auch dann ausgeführt, wenn der nächste RIP-Wert ungültig war. Der Fehler wurde behoben, indem die Fastpath-Emulation in diesem Fall übersprungen wird. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von den Distributionen bereitgestellten Kernel-Updates einspielen.

Lima startet Linux-virtuelle-Maschinen (typischerweise auf macOS) zum Ausführen von containerd. Vor Version 2.1.3 konnte auf einer mit dem QEMU-Treiber laufenden Lima-Instanz ein beliebiger Benutzer in der VM auf einen /run/lima-Pfad zugreifen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Lima 2.1.3 oder neuer.

Im Linux-Kernel wurde eine Schwachstelle in KVM/SEV behoben: Gemäss GHCB-Spezifikation muss bei Verwendung von GHCB v2 oder neuer die Software-Scratch-Area innerhalb des GHCB liegen. Ubuntu hat die Lücke in mehreren Sicherheitsmitteilungen (u. a. USN-8569-1, USN-8568-1, USN-8566-1, USN-8593-1, USN-8603-1) bestätigt. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die Kernel-Aktualisierung der jeweiligen Distribution einspielen.

Im QEMU Guest Agent (qga) wurde eine Schwachstelle gefunden. Ein lokaler, nicht privilegierter Benutzer kann den Befehlshandler guest-ssh-add-authorized-keys durch Manipulation symbolischer Verknüpfungen ausnutzen. Die Schwachstelle ist laut CVSS-Vektor lokal ausnutzbar und betrifft Vertraulichkeit, Integrität und Verfügbarkeit (AV:L/C:H/I:H/A:H). CVSS-Basiswert: 7.3 (Hoch).

Im Linux-Kernel wurde eine Schwachstelle in der x86-FPU-Verwaltung behoben: Der XFD-Status (Extended Feature Disable) wurde bei der Signalübermittlung nicht korrekt sichergestellt, was laut Fehlerbericht während KVM-Tests zu einer Kernel-Warnung führte. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von den Distributionen bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle in KVM/arm64 behoben: Beim Leeren (flush_hyp_vcpu()) der pKVM-Hyp-vCPU, das den Host-vCPU-Kontext in den Kontext des Hypervisors kopiert, wird __hyp_running_vcpu nun zurückgesetzt. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: den bereitgestellten Kernel-Fix einspielen.

Im Linux-Kernel wurde eine Schwachstelle in KVM auf arm64 behoben. Beim Flushen der privaten Hyp-vCPU von pKVM wird der Wert used_lrs nun begrenzt, wenn der vGIC-Zustand des Hosts in die Hyp-Kopie übernommen wird. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: aktuelle Kernel-Updates einspielen.

Im Linux-Kernel wurde in KVM eine Schwachstelle behoben: Versuche, das Flag KVM_MEM_GUEST_MEMFD auf einem bereits bestehenden Memory-Slot zu deaktivieren, wurden laut Quelle nicht zurückgewiesen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Linux-Kernel wurde in der arm64-KVM-Implementierung eine Schwachstelle behoben: Das Offset im FF-A-Memory-Share wurde nicht auf Vertrauenswürdigkeit geprüft, wodurch ein Out-of-Bounds-Zugriff auf den FF-A-Puffer des Hypervisors möglich war. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle in der guest_memfd-Komponente von KVM behoben: Beim Löschen eines Memslots wurden dessen Bindungen nicht entfernt, wenn die zugehörige guest_memfd-Instanz bereits im Abbau begriffen war. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von den Distributionen bereitgestellten Kernel-Updates einspielen.

Im KVM-SEV-Code des Linux-Kernels wurde eine Schwachstelle behoben: Einträge und Indizes aus dem PSC-Puffer des Gasts werden nun mit READ_ONCE() gelesen. Der Fehler wurde per Kernel-Patch korrigiert. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Ubuntu stellt aktualisierte Kernel-Pakete bereit (USN-8593-1 sowie USN-8603-1 für Azure-Kernel). Empfohlene Massnahme: die bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel liess sich in der KVM-Funktion ioeventfd-datamatch ein durch den Gast auslösbares BUG_ON() erreichen. Der Fehler wurde behoben, indem der Zugriff durch get_unaligned() ersetzt wurde. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das bereitgestellte Kernel-Update einspielen.

Im KVM-Code für arm64 wurde eine Schwachstelle behoben: Das von einem Gast-Hypervisor bereitgestellte ZCR_EL2 wurde nicht korrekt begrenzt. Der Fehler wurde per Kernel-Patch korrigiert. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Ubuntu adressiert die Lücke in den Kernel-Updates USN-8593-1 und USN-8603-1. Empfohlene Massnahme: die bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle in der KVM-SVM-Komponente behoben. In sev_dbg_crypt() konnte auf dem ENCRYPT-Pfad ein Page-Overflow auftreten, weil die Transferlänge pro Iteration nicht ausreichend begrenzt war. Der Fix korrigiert dieses Verhalten. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: einen Kernel-Stand mit dem bereitgestellten Fix einspielen.

Im Linux-Kernel wurde eine Schwachstelle im KVM/SVM-Subsystem behoben. Auf Hygon-Family-18h-CPUs, die von AMD Family 17h abgeleitet sind, wird die AVIC-IPI-Virtualisierung aufgrund von Erratum #1235 deaktiviert. Die Lücke ist über die Ubuntu-Advisories USN-8593-1 und USN-8603-1 (Linux kernel bzw. Linux kernel Azure) adressiert. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Distributor bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle in der KVM-Komponente x86/mmu behoben. Beim Wiederherstellen von Hugepages im Shadow-MMU wird nun geprüft, ob die Hugepage im Slot liegt, bevor die maximale Mapping-Ebene bestimmt wird. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: einen Kernel-Stand mit dem bereitgestellten Fix einspielen.

Im Linux-Kernel wurde ein Fehler in der KVM-arm64-Komponente behoben: Laut Quelle setzte die Funktion kvm_hyp_handle_mops() die Single-Step- Zustandsmaschine im Rahmen der SPSR_EL2-Wiederherstellung fehlerhaft zurück. Der Fehler wurde im Rahmen der Kernel-Pflege korrigiert. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In QEMU prüfte die Funktion virtio_snd_pcm_in_cb beim Einlesen von Eingabe-Audio im virtio-snd-Gerät nicht, ob das iov in den Datenpuffer passt. Dadurch kann es potenziell zu einem Fehler kommen. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Linux-Kernel wurde eine Schwachstelle in der KVM-Virtualisierung für x86 behoben: Die Behandlung von Fastpath-Userspace-Exits wurde so verschoben, dass der Vendor-spezifische Exit-Handler zuvor ausgeführt wird. Betroffen sind Produkte, die auf dem Linux-Kernel aufsetzen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Kernel-Aktualisierungen einspielen, sobald verfügbar.

Im Linux-Kernel wurde eine Schwachstelle in KVM (x86, Hyper-V) behoben: Beim Prüfen, ob eine VP-ID in einem Sparse-Bank-Set enthalten ist, wurde der Bank-Index nicht begrenzt. Der Fix begrenzt den Index nun explizit. CVSS-Basiswert: 8.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: aktualisierten Kernel einspielen.

JetKVM vor Version 0.5.4 begrenzt Anmeldeversuche nicht, was Brute-Force-Angriffe zum Erraten von Zugangsdaten ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Der Angeet ES3 KVM erlaubt einem entfernten, nicht authentifizierten Angreifer das Schreiben beliebiger Dateien, einschliesslich Konfigurationsdateien und Systembinärdateien. Manipulierte Konfigurations- oder Systemdateien könnten weitreichende Kompromittierungen ermöglichen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im virtio-snd-Gerät von QEMU besteht ein Heap-Pufferüberlauf. Beim Einlesen von Eingabeaudio in der Callback-Funktion virtio_snd_pcm_in_cb wird nicht geprüft, ob der Datenpuffer (iov) ausreichend Platz bietet. Entspricht die Grösse des Virtio-Queue-Elements virtio_snd_pcm_status, steht kein Platz für Audiodaten zur Verfügung, wodurch ein Out-of-Bounds-Schreibzugriff ausgelöst werden kann. CVSS-Basiswert: 7.4 (Hoch).

In der Emulation des LSI53C895A SCSI Host Bus Adapters von QEMU wurde ein Use-after-free gefunden. Das Problem kann zu einem Absturz oder zu einem VM-Escape führen. CVSS-Basiswert: 8.2 (Hoch).

QEMU vor Version 8.2.0 enthält einen Integer-Underflow mit daraus resultierendem Pufferüberlauf, ausgelöst über einen TI-Befehl, wenn die erwartete Nicht-DMA-Übertragungslänge kleiner ist als die Länge der verfügbaren FIFO-Daten. Der Fehler tritt in esp_do_nodma in hw/scsi/esp.c durch einen Underflow von async_len auf. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf QEMU 8.2.0 oder neuer.

Diese CVE besteht aufgrund eines unvollständigen Fixes für CVE-2021-3750. Das für Red Hat Enterprise Linux 9.1 über RHSA-2022:7967 veröffentlichte qemu-kvm-Paket enthielt tatsächlich eine Version, der der Fix für CVE-2021-3750 fehlte. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Ein Problem im TCG Accelerator von QEMU 4.2.0 erlaubt laut Meldung lokalen Angreifern, beliebigen Code auszuführen, Rechte auszuweiten und einen Denial of Service zu verursachen. Hinweis: Der Sachverhalt wird von mehreren Dritten als blosser Programmfehler und nicht als gültige Sicherheitslücke bestritten. CVSS-Basiswert: 8.8 (Hoch).

Für Produkte des Xen Project wurde eine Sicherheitslücke (CVE-2015-3456) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 15.3 %.

Im Linux-Kernel wurde eine Schwachstelle in der KVM-x86-Implementierung behoben. Die Prüfung auf eine ungültige beziehungsweise veraltete Root-Seite erfolgte vor statt nach der Bereitstellung der MMU-Seiten, wodurch ein sogenannter „Stale-Page-Fault“ nicht zuverlässig erkannt wurde. Weitere Angaben zu Auswirkungen oder Massnahmen liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben.

Klever-Go ist laut Quelle die Go-Implementierung des Klever-Blockchain-Protokolls. Vor Version 1.7.17 stellt die KVM den Mechanismus ExecuteReadOnlyWithTypedArguments als reine Lese-Ausführung bereit. Die Lücke ist über das Netzwerk mit hoher Angriffskomplexität und niedrigen Rechten ausnutzbar (AV:N/AC:H/PR:L/UI:N), zeigt eine Scope-Änderung (S:C) und wirkt sich hoch auf die Integrität aus (I:H). CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Im Linux-Kernel wurde eine Schwachstelle im crypto/ccp-Treiber behoben: SNP wird bei ioctl(SNP_CONFIG) nicht mehr initialisiert, um Probleme zu vermeiden, wenn die SEV-Initialisierung fehlschlägt und KVM aktiv genutzt wird. Betroffen sind Produkte, die auf dem Linux-Kernel aufsetzen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die vom Hersteller bereitgestellten Kernel-Aktualisierungen einspielen, sobald verfügbar.

Im Linux-Kernel wurde eine Schwachstelle in der crypto/ccp-Komponente behoben: Bei ioctl(SNP_VLEK_LOAD) wird SNP nicht mehr initialisiert. Hintergrund ist ein Fehlerpfad rund um eine fehlgeschlagene SEV-Initialisierung bei aktiv laufendem KVM. Weder ein CVSS- noch ein EPSS-Wert liegt in den Quelldaten vor. Empfohlene Massnahme: das die Korrektur enthaltende Kernel-Update einspielen.

Im Linux-Kernel wurde eine Schwachstelle in crypto/ccp behoben: SNP wird bei ioctl(SNP_COMMIT) nicht mehr initialisiert, um den Fehlerfall abzufangen, in dem die SEV-Initialisierung scheitert, während KVM aktiv läuft. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: den bereitgestellten Kernel-Fix einspielen.

Im Linux-Kernel wurde eine Schwachstelle im crypto-ccp-Treiber behoben, sodass SNP für SEV-ioctls nicht mehr initialisiert wird. Schlägt die SEV-Initialisierung fehl, während KVM regulär weiterläuft, kann es andernfalls zu Problemen kommen. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Empfohlene Massnahme: aktuelle Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle behoben: In KVM für x86 wird der CR8-Intercept bei einem PPR-Update nun bedingungslos neu berechnet. Laut Quelle nutzt VMX das Feld TPR_THRESHOLD in der VMCS, um VM-Exits auszulösen; die fehlende Neuberechnung konnte zu fehlerhaftem Verhalten führen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: den korrigierten Kernel-Stand über die Aktualisierungen des jeweiligen Distributors einspielen.

Im Linux-Kernel wurde eine Schwachstelle in KVM/VMX behoben: Beim Aktualisieren der CR8-Interception wurde vmcs12 abgerufen, ohne vorher sicherzustellen, dass sich der vCPU tatsächlich im Guest-Modus befindet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

In QEMUs virtio-blk-Gerät besteht ein Fehler, weil das Gerät die Grösse von Eingabe-Deskriptoren vor dem Schreiben von Daten nicht ordnungsgemäss validiert. Ein bösartiger Gast mit hohen Privilegien kann dies ausnutzen. CVSS-Basiswert: 6.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Linux-Kernel wurde eine Schwachstelle in KVM behoben: Beim Markieren einer Speicherseite als dirty ohne zugeordnete vCPU wurde eine Warnung ausgelöst, obwohl dies beim Herunterfahren der VM auftreten kann. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Der Fix wird über die Kernel-Pakete der betroffenen Distributionen verteilt; das bereitgestellte Update sollte eingespielt werden.

Im Linux-Kernel wurde eine Schwachstelle in der KVM-Virtualisierung für arm64 (Nested Virtualization) behoben: Die VNCR-TLB-Invalidierung durch MMU-Notifier oder TLBI-Instruktionen dereferenziert keinen NULL-VNCR-Pseudo-TLB mehr. Betroffen sind Produkte, die auf dem Linux-Kernel aufsetzen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die vom Hersteller bereitgestellten Kernel-Aktualisierungen einspielen, sobald verfügbar.

Im Linux-Kernel wurde eine Schwachstelle in KVM (guest_memfd) behoben. Beim Binden eines Memslots an eine guest_memfd-Datei werden Offset und Grösse der Bindung nun als vorzeichenlose Werte behandelt. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Empfohlene Massnahme: aktuelle Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle in der KVM-SEV-Verarbeitung behoben: Beim Befüllen einer guest_memfd-Instanz mit den initialen CPUID-Daten für einen SNP-Gast wird die Quellseite nun zum Schreiben fixiert (pinned). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: den Kernel auf einen Stand mit dem bereitgestellten Fix aktualisieren.