O domínio de controle Dom0 do XCP-ng executa em um kernel Linux e é a camada de gerenciamento do hipervisor. Qualquer usuário sem privilégios com acesso a shell no Dom0 — incluindo contas de serviço criadas para pipelines de CI/CD, agentes de monitoramento, ferramentas de backup ou automação — pode explorar esta vulnerabilidade para obter root. A partir do root no Dom0, todas as VMs convidadas nesse host ficam comprometidas.

Uma instalação padrão do XCP-ng tem exposição mínima, pois pouquíssimos processos são executados como usuários não-root. O risco real se acumula ao longo do tempo à medida que operadores adicionam contas de serviço para fins legítimos sem restringir o acesso ao shell.

Audite as contas de serviço do seu Dom0:

O Que Este Script Faz

Este é um detector de laboratório, não uma ferramenta de escalonamento de privilégios. Ele:

• Cria um arquivo sentinela temporário de propriedade do usuário em execução em um diretório temporário
• Tenta acionar a primitiva de gravação de rascunho no cache de páginas algif_aead / authencesn contra esse arquivo
• Relata se foi detectada corrupção no cache de páginas (confirmando a vulnerabilidade)
• Limpa todos os arquivos temporários ao sair

Binários do sistema, /etc/passwd e outros arquivos do sistema nunca são tocados. A corrupção do cache de páginas é apenas em memória — nada é gravado de volta no disco.

Requisitos

• Python 3.10+ (necessário para os.splice)
• Apenas biblioteca padrão — sem necessidade de instalações via pip
• Shell de usuário não-root em um Dom0 executando um kernel vulnerável

Uso

Códigos de Saída

Nota: O código de saída 1 em um sistema corrigido é comportamento esperado, não um erro do script. Se authencesn foi desabilitado no nível do kernel (como na correção do XCP-ng de 5 de maio), o bind do socket falhará e o script sairá com o código 1.

Status da Correção no XCP-ng

Aplicando a Correção

Atualize seus hosts XCP-ng e reinicie:

Após a reinicialização, verifique se o kernel atualizado está em execução:

Execute novamente este script detector após a correção. Um sistema corrigido retornará o código de saída 1 (erro de acionamento), pois o template vulnerável authencesn não está mais disponível.

Nota: A correção do XCP-ng desabilita o suporte a IPSec ESN como consequência da remoção do componente vulnerável authencesn. Para a maioria dos ambientes, isso não tem impacto prático. A VATES indicou que uma correção futura pode restaurar essa funcionalidade com uma solução adequada.

Verificando a Configuração do Kernel

Antes de aplicar mitigações, confirme se algif_aead está compilado como módulo (=m) ou embutido no kernel (=y):

• =m — Baseado em módulo; a lista negra do modprobe funcionará
• =y — Embutido no kernel; a lista negra do modprobe falhará silenciosamente e não fornecerá proteção

Para kernels da família RHEL com =y, use o parâmetro de boot do grubby:

Referências

• VSA-2026-013 — Boletim de Segurança da VATES
• Atualização de Segurança de Maio de 2026 do XCP-ng
• Copy Fail — Artigo Técnico da Xint/Theori
• copy.fail — Página Oficial de Divulgação
• CVE-2026-31431 — NVD
• Correção Upstream do Kernel — commit a664bf3d603d
• Detector original por rootsecdev

Créditos

• Descoberta da vulnerabilidade: Taeyang Lee / Theori (Xint Code)
• Correção upstream do kernel: Herbert Xu
• Script detector original: rootsecdev
• Adaptação e validação para XCP-ng: Rod (este repositório)

Licença

Este script é um derivado modificado do trabalho original de rootsecdev. Verifique a licença do repositório upstream antes de redistribuir e garanta que seu uso esteja em conformidade com seus termos.

Este script foi validado no XCP-ng 8.3 LTS executando um kernel sem correção em 5 de maio de 2026. Aplique imediatamente a atualização de segurança oficial da VATES se ainda não o fez.