Xen Project – Fehlende Sperre beim Zugriff auf CMOS-Speicher über indirekten IO-Port

Beschreibung

Zugriffe auf den CMOS-Speicherinhalt erfolgen in Xen über ein indirektes IO-Port-Paar, wofür Xen den vom Gast gewählten Index zwischenspeichert. Laut Quelle nimmt eine der Verwendungen dieses Index nicht die notwendige Sperre vor, wodurch die Zugriffe nicht ausreichend abgesichert sind. Die Schwachstelle wird sowohl vom Xen Project selbst (Security Advisory) als auch über NVD gemeldet. CVSS-Basiswert: 7.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt aus den Quelldaten aktuell nicht vor. Betroffene Nutzer sollten die Sicherheitsempfehlungen des Xen Project verfolgen und verfügbare Patches zeitnah einspielen.

Changelog

1. 2026-07-28 · zuletzt

   • CVSS-Basiswert ergänzt: 7.5 (vorher lag kein Score vor).
   • Schweregrad: Mittel → Hoch.

2. 2026-07-28

   • Zusätzlich betroffen: omnissa-workspace-one-horizon.

3. 2026-07-28

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Xen Project

• Trend Micro Apex One (On-Premise) – Directory Traversal KEV CVE-2026-34926
• Omnissa Workspace ONE Server-Side Request Forgery KEV CVE-2021-22054
• Trend Micro Apex One – OS Command Injection KEV CVE-2025-54948
• Trend Micro Apex One und Worry-Free Business Security – Remote Code Execution KEV CVE-2023-41179
• Apache Log4j2 Deserialization of Untrusted Data KEV CVE-2021-45046
• Trend Micro Apex One – Improper Validation Vulnerability KEV CVE-2022-40139