Xen プロジェクトによる報告：

Xen x86エミュレーターが、メモリアクセスの実行時に、セグメントが使用不可であることを見過ごしました。

対象となる動作は次のとおりです。ユーザーデータセグメント（%ds、%es、%fs、%gs）セレクターは、32ビット版ではアクセスを防ぐためにNULLになっている場合があります。64ビット版では、NULLはユーザーセグメントに対して特別な意味を持ち、アクセスを防止する手立てはありません。しかし、32ビット版と64ビット版の両方で、NULL LDTシステムセグメントはアクセスを防止するためのものです。

Intelハードウェアでは、NULLセレクターをロードすると、ベースに加えほとんどの属性がゼロになりますが、制限フィールドは指定可能な最大値に設定されます。AMDハードウェアでは、NULLセレクターをロードすると属性がゼロになり、古いベースと制限がそのまま残ります。

Xenが、予期しないベース/制限値を使用するアクセスを誤って許可する可能性があります。

Intelでは、この脆弱性を簡単に悪用できますが、AMDでは、ゲストカーネルによるLDTの管理に複雑な方法を取り入れています。

権限のないゲストユーザープログラムが、その権限をゲストオペレーティングシステムの権限に昇格できる可能性があります。

検出

FreeBSD : xen-kernel -- x86のnullセグメントが必ずしも使用不可として処理されない（50ac2e96-ba4d-11e6-ae1b-002590263bf5）

high Nessus プラグイン ID 95505