Критическая уязвимость в Xen Orchestra позволяет обойти аутентификацию и захватить серверы XCP-ng
В платформе управления Xen Orchestra от французской Vates обнаружена критическая уязвимость обхода аутентификации VSA-2026-062, которая уже используется в реальных атаках. Она позволяет получить права администратора и захватить хосты виртуализации XCP-ng.
Главное в цифрах
- Идентификатор уязвимости: VSA-2026-062
- Исправленные версии: Xen Orchestra 6.9.1 и 6.10.0
- Пакеты xo-server: 5.211.2 и 5.213.1
Уязвимость затрагивает Xen Orchestra и Xen Orchestra Appliance (XOA). Удалённый злоумышленник, имеющий сетевой доступ к интерфейсу управления, может обойти аутентификацию с помощью специально сформированного cookie. Он передаёт authenticationToken=j:%7B%7D, то есть пустой JSON-объект. Платформа в таком случае получает токен существующего пользователя и входит в систему от его имени без ввода учётных данных.
После входа атакующий может через REST API получить многоразовые идентификаторы токенов входа, например по адресу /rest/v0/users/me/authentication_tokens, и использовать их для дальнейшего доступа.
Последствия и исправления
Vates предупреждает, что компрометация Xen Orchestra может привести к выполнению произвольного кода на управляемых пулах и полному захвату узла XCP-ng с правами root. Исправления вышли в версиях 6.9.1 (стабильная) и 6.10.0 (последняя), в них также обновлены пакеты xo-server 5.211.2 и 5.213.1.
Администраторам рекомендуется установить обновление немедленно. Если это невозможно, нужно ограничить доступ к управлению выделенными сетями и заблокировать известные вредоносные IP-адреса. Компании, которые считают себя скомпрометированными, должны сменить пароли и секреты, используемые в средах виртуализации.
Обнаружили уязвимость Филип Мэджик и Кристоффер Олсен из TDC NET Security. CVE-идентификатор и оценка CVSS пока не присвоены.
Признаки компрометации
Vates опубликовала индикаторы компрометации: подключения к 91.211.251.112:8001 или к onion-адресу на порту 3333, HTTP-запросы с cookie authenticationToken=j:%7B%7D или authenticationToken=j:{}, виртуальные машины с параметром hvm_serial: file, а также файлы /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 и /.ustar6.
По словам компании, эксплуатация не оставляет записей в журналах, поэтому обнаружить атаку можно только через мониторинг HTTP-трафика. Индикаторы относятся только к этой кампании и могут отличаться для других злоумышленников.
