Xen项目修复了其广泛使用的管理程序中的三个漏洞，这些漏洞允许在虚拟机中运行的操作系统访问主机系统的内存，从而破坏了主机系统之间的关键安全层。
其中两个补丁漏洞只能在特定条件下使用，这限制了它们在潜在攻击中的使用，但其中一个是高度可靠的漏洞，它对多租户数据中心构成严重威胁，其中客户的虚拟化服务器共享相同的底层硬件。2020欧洲杯预赛
这些漏洞还没有CVE跟踪号码，但Xen的三份安全建议已经涵盖了这些漏洞xsa - 213,xsa - 214和xsa - 215。
“XSA-213是Xen中一个致命的、可靠的漏洞，”Qubes OS的安全团队说，该操作系统隔离Xen虚拟机中的应用程序。“在Qubes OS项目近8年的历史中，我们发现了这一版本的4个bug: XSA-148, XSA-182, XSA-212，现在是XSA-213。”
在这4个高度关键且容易被利用的漏洞中，有3个是在过去10个月内发现并打补丁的，两个是在过去一个月内发现并打补丁的xsa - 182于2016年7月确定xsa - 212四月和星期二XSA-213。
另一个共同点是，它们都影响了准虚拟化(PV) vm的Xen内存虚拟化。Xen支持两种类型的虚拟机:硬件虚拟机(HVMs)，它使用硬件辅助虚拟化，半虚拟化虚拟机使用基于软件的虚拟化。
周二被修补的另外两个缺陷XSA-214和XSA-215也影响到半虚拟化虚拟机。区别在于XSA-214需要两个恶意的来宾vm一起工作才能访问系统内存，而XSA-215只影响“物理内存扩展到与配置相关的5TB或3.5TB的x86系统”。
XSA-213的一个限制是它只能从64位PV客户机使用，因此只运行HVM或32位PV客户机的系统不会受到影响。
Xen开发人员发布了针对Xen 4.8的补丁。4.7 x, Xen。4.6 x, Xen。x和Xen 4。5。x，可以手动应用于受影响的系统。
许多云计算提供商和虚拟私有服务器(VPS)托管公司都使用开源的Xen虚拟机监控程序，其中一些公司提前收到了补丁，并被迫安排维护宕机时间。
例如，VPS提供商Linode必须重新启动为了应用修复程序，建议客户转移到其基于hvm的服务器上，以避免将来停机。
与此同时，Amazon Web Services表示，其客户的数据和实例不会受到这些漏洞的影响，也不需要客户采取行动。
以构建了最安全的桌面操作系统之一而自豪的Qubes OS团队已经受够了反复处理Xen PV漏洞。这就是为什么在过去的10个月里，它投入了额外的工作来将下一个版本的操作系统——Qubes 4.0——转换为HVM。
“我们最初希望能够过渡到在所谓的PVH虚拟化模式下运行所有Linux vm，在这种模式下根本不需要I/O仿真器，但结果是Linux内核还没有为此做好充分准备，”Qubes团队在文章中说一个分析最新的Xen补丁。所以，在Qubes 4.0中，我们将使用经典的HVM模式，其中的I/O模拟器是沙箱内…PV VM(在Qubes 3.x上运行Windows应用程序时也是如此)。
好消息是，当Linux内核添加了所需的支持时，基础工作已经准备就绪，可以在将来将Qubes切换到PVH，如果出现更好的替代方案，甚至可以用其他东西完全替代Xen。