Nach 11 Monaten Entwicklung wurde die Veröffentlichung des kostenlosen Hypervisors Xen 4.18 veröffentlicht. Unternehmen wie Amazon, Arm, Bitdefender, Citrix, EPAM Systems und AMD waren an der Entwicklung dieser neuen Version beteiligt. Die Erstellung von Updates für die Xen 4.18-Zweig wird bis zum 16. Mai 2025 fortgesetzt, während die Veröffentlichung von Sicherheitskorrekturen bis zum 16. November 2026 dauert.
Wesentliche Änderungen in Xen 4.18:
- Erste Implementierungen von Ports für die Architekturen RISC-V und Power (ppc64le) wurden hinzugefügt. Testumgebungen für die Ports RISC-V und Power im kontinuierenden Integrationssystem GitLab CI wurden eingerichtet.
- Bei der Arbeit auf ARM64-Systemen wurden die architekturspezifischen Besonderheiten von ARM in der Xen-Speichersubsystem berücksichtigt. Experimentelle Unterstützung für skalierbare Vektorerweiterungen (SVE) wurde hinzugefügt. Ein Arm Firmware Framework-Toolkit für die ARM A-Profil-Architektur (ARM Application-Profile, FF-A) wurde hinzugefügt. Eine experimentelle Möglichkeit zum dynamischen Hinzufügen und Entfernen von Knoten im Xen-Gerätbaum über .dtbo-Dateien wurde implementiert.
- Auf Systemen mit Intel-Prozessoren ist der Parameter MSR_ARCH_CAPS jetzt in den Gastsystemen sichtbar und kann über die Konfigurationsdatei der virtuellen Maschine konfiguriert werden. Bei Prozessoren, die seit 2019 hergestellt werden, zeigt der Parameter MSR_ARCH_CAPS an, welche Hardware-Fehlerbehebungen für Sicherheitsanfälligkeiten im Zusammenhang mit spekulativen Ausführungen angewendet wurden.
- Unterstützung für die CPUID_USER_DIS-Erweiterung (CPUID Faulting) hinzugefügt, die in der vierten Generation von AMD EPYC-Prozessoren eingeführt wurde, um die Möglichkeit zur Ansicht von CPUID-Daten aus einem para-virtualisierten Gastsystem zu steuern.
- Unterstützung für die in Intel-Prozessoren der Mikroarchitektur Sapphire Rapids eingeführten Erweiterungen hinzugefügt:
- Für Gastsysteme im HVM- und PVH-Modus wurde die Unterstützung für den Mechanismus PKS (Protection Key Supervisor) hinzugefügt, der die Möglichkeiten zum Schutz von Speicherseiten erweitert.
- Um einen Systemausfall bei Problemen mit mikroarchitektonischen Sperren zu verhindern, wurde der Mechanismus VM-Notify aktiviert.
- Schutz vor Busblockaden aufgrund der nicht zielgerichteten Verwendung atomarer Anweisungen im Gastsystem hinzugefügt (rate-limit ist aktiviert).
- Die Unterstützung für AVX512-FP16-Befehle, die in Intel-CPUs mit der Mikroarchitektur Granite Rapids eingeführt wurden, wurde hinzugefügt.
- Ein cpufreq-Treiber wurde hinzugefügt, der den HWP (Hardware P-States) Mechanismus zur Steuerung des Energieverbrauchs und der Taktfrequenz von Intel-Prozessoren nutzt.
- Die Unterstützung für die erzwungene Ausführung von Systemoperationen im DOITM (Data Operand Independent Timing Mode) wurde umgesetzt, um eine konstante Ausführungszeit von Befehlen zu gewährleisten, die unabhängig von den in diesen Befehlen verarbeiteten Daten ist.
- Die Umsetzung der Anforderungen an die Entwicklung sicherer und zuverlässiger Programme in C, wie sie in den MISRA-C-Spezifikationen für sicherheitskritische Systeme formuliert sind, wurde fortgesetzt. Die Anzahl der in Xen implementierten MISRA-C-Richtlinien wurde von 4 auf 6 und die Regeln von 24 auf 65 erhöht (insgesamt gibt es 16 Richtlinien und 143 Regeln in der Spezifikation).
- Das xl/libxl-Toolkit bietet jetzt die Möglichkeit, die SMBIOS-Einstellungen für Gästesysteme im HVM-Modus zu ändern.
- Zwei neue Hypercalls wurden hinzugefügt, um den Arbeitszustand und die Zeitbereiche von vCPUs an physische, nicht virtuelle Adressen zu binden.
Quelle: opennet.ru
