El dominio de control Dom0 de XCP-ng se ejecuta sobre un kernel de Linux y es la capa de gestión del hipervisor. Cualquier usuario sin privilegios con acceso a shell en Dom0 — incluidas cuentas de servicio creadas para pipelines de CI/CD, agentes de monitoreo, herramientas de respaldo o automatización — puede explotar esta vulnerabilidad para obtener root. Desde root en Dom0, todas las máquinas virtuales invitadas en ese host quedan comprometidas.

Una instalación predeterminada de XCP-ng tiene una exposición mínima, ya que muy pocos procesos se ejecutan como usuarios no root. El riesgo real se acumula con el tiempo a medida que los operadores agregan cuentas de servicio con fines legítimos sin restringir el acceso a shell.

Audite las cuentas de servicio de su Dom0:

Qué hace este script

Este es un detector de laboratorio, no una herramienta de escalada de privilegios. El script:

• Crea un archivo centinela temporal propiedad del usuario que lo ejecuta en un directorio temporal
• Intenta activar la primitiva de escritura temporal en la caché de páginas de algif_aead / authencesn contra ese archivo
• Informa si se detectó corrupción en la caché de páginas (confirmando la vulnerabilidad)
• Limpia todos los archivos temporales al salir

Los binarios del sistema, /etc/passwd y otros archivos del sistema nunca se tocan. La corrupción de la caché de páginas es solo en memoria — no se escribe nada de vuelta al disco.

Requisitos

• Python 3.10+ (requerido para os.splice)
• Solo biblioteca estándar — no se necesitan instalaciones con pip
• Shell de usuario no root en un Dom0 que ejecute un kernel vulnerable

Uso

Códigos de salida

Nota: El código de salida 1 en un sistema parcheado es un comportamiento esperado, no un error del script. Si authencesn se ha deshabilitado a nivel de kernel (como en la corrección de XCP-ng del 5 de mayo), el enlace del socket fallará y el script saldrá con el código 1.

Estado del parche de XCP-ng

Aplicando la corrección

Actualice sus hosts XCP-ng y reinicie:

Después del reinicio, verifique que el kernel actualizado esté en ejecución:

Vuelva a ejecutar este script detector después de parchear. Un sistema parcheado devolverá el código de salida 1 (error de activación), ya que la plantilla vulnerable authencesn ya no está disponible.

Nota: La corrección de XCP-ng deshabilita el soporte IPSec ESN como consecuencia de eliminar el componente vulnerable authencesn. Para la mayoría de los entornos esto no tiene impacto práctico. VATES ha indicado que un parche futuro podría restaurar esta funcionalidad con una corrección adecuada.

Verificación de la configuración del kernel

Antes de aplicar mitigaciones, confirme si algif_aead está compilado como módulo (=m) o integrado en el kernel (=y):

• =m — Basado en módulo; la lista negra de modprobe funcionará
• =y — Integrado en el kernel; la lista negra de modprobe fallará silenciosamente y no proporcionará protección

Para kernels de la familia RHEL con =y, use el parámetro de arranque grubby en su lugar:

Referencias

• VSA-2026-013 — Aviso de seguridad de VATES
• Actualización de seguridad de XCP-ng de mayo de 2026
• Copy Fail — Informe técnico de Xint/Theori
• copy.fail — Página oficial de divulgación
• CVE-2026-31431 — NVD
• Corrección del kernel upstream — commit a664bf3d603d
• Detector original de rootsecdev

Créditos

• Descubrimiento de la vulnerabilidad: Taeyang Lee / Theori (Xint Code)
• Corrección del kernel upstream: Herbert Xu
• Script detector original: rootsecdev
• Adaptación y validación para XCP-ng: Rod (este repositorio)

Licencia

Este script es un derivado modificado del trabajo original de rootsecdev. Verifique la licencia del repositorio upstream antes de redistribuir y asegúrese de que su uso cumpla con sus términos.

Este script fue validado en XCP-ng 8.3 LTS ejecutando un kernel sin parchear al 5 de mayo de 2026. Aplique la actualización de seguridad oficial de VATES de inmediato si aún no lo ha hecho.