XEN一向以高性能、占用資源少著稱，贏得了IBM、AMD、HP、Red Hat和Novell等眾多世界級軟硬件廠商的高度認可和大力支持，不少國內外企事業用戶用XEN來搭建高性能的虛擬化平臺。然而，XEN近期被指出一個“致命”漏洞。

來自Quarkslab的安全專家Jérémie Boutoille說，他已經在Xen虛擬機監控器上發現了一個關鍵漏洞，該漏洞會導致潛在的權限提升風險。

使用x86硬件的半虛擬化（PV）用戶需要注意：該漏洞版本已確定為CVE-2016-6258，并且能夠影響Xen的所有版本。硬件虛擬機（HVM）和ARM的用戶則無需擔心。

研究人員在Xenbits網站上發出公告：

“只運行硬件虛擬機（HVM）的用戶能避免這一漏洞。”

漏洞原理

Xen平臺PV模式下運行的虛擬機被披露存在權限提升漏洞。當滿足一定條件，用于控制驗證頁表的代碼可被繞過，導致PV模式下的普通用戶（如Guest）可使用超級頁表映射權限重新定義可寫入的映射。由于漏洞產生原因為頁表關聯權限繞過，即使在Xen系統配置“allowsuperpage”命令行選項為“否”的情況下也會受到漏洞的影響。綜合利用漏洞，可提升普通用戶權限，進而控制整個虛擬機系統，構成用戶主機數據泄漏風險。

漏洞補丁

Qubes操作系統（Qubes充分利用了虛擬化技術（基于安全虛擬機Xen））的開發者——著名的波蘭女黑客Joanna Rutkowska說：

該漏洞是致命的。外界在短時間內就XEN PV虛擬化模塊代碼再次出現漏洞進行了公開討論，黑客能夠通過Xsa-182漏洞完全控制運行在xen上的虛擬機。我們不會因為已經完成的補丁而輕易遺忘這個漏洞。