SecAtor

В Xen Orchestra активно используется критическая уязвимость, позволяющая обойти аутентификацию, в атаках, которые могут предоставить права администратора и обеспечить захват виртуализационных хостов XCP-ng. Xen Orchestra - это веб-платформа управления, разработанная французской компанией Vates, используемая для управления средами виртуализации XCP-ng, включая виртуальные машины, хосты и пулы. VSA-2026-062 затрагивает Xen Orchestra и Xen Orchestra Appliance (XOA), позволяя удаленным злоумышленникам, имеющим сетевой доступ к интерфейсу управления, обходить аутентификацию с помощью специально созданного cookie-файла. Уязвимость обнаружили Филип Мэджик и Кристоффер Олсен из компании TDC NET Security. Идентификатор CVE и оценка CVSS пока еще не присвоены. Согласно уведомлению Vates, уязвимость связана с тем, как Xen Orchestra обрабатывает токены аутентификации, отправляемые через запросы REST API, конкретно файлы cookie аутентификации. Отправив специально созданный cookie (authenticationToken=j:%7B%7D), содержащий пустой JSON-объект ( {}), злоумышленники могут обманом заставить платформу получить существующий токен аутентификации и войти в систему как его владелец, не требуя при этом фактических учетных данных. После аутентификации злоумышленники могут получить «многоразовые идентификаторы токенов для входа в систему» через /rest/v0/users/me/authentication_tokens конечную точку REST API, которые затем могут быть использованы для дальнейшего доступа. Vates предупреждает, что злоумышленник после обхода аутентификации может выполнять действия с правами администратора. Компрометация Xen Orchestra может привести к выполнению произвольного кода в управляемых пулах и полному захвату узлов XCP-ng. Компания выпустила Xen Orchestra 6.9.1 (стабильная версия) и 6.10.0 (последняя версия), включая исправленные пакеты xo-server 5.211.2 и 5.213.1 для устранения этих уязвимостей. Администраторам следует немедленно установить обновление, а если это невозможно, ограничить доступ Xen Orchestra к выделенным сетям управления и заблокировать известные вредоносные IP-адреса. Vates подтвердила, что уязвимость активно используется злоумышленниками, и предоставила следующие IOCs: - инфраструктура злоумышленника: 91.211.251.112:8001 или ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333. - Подозрительные файлы cookie аутентификации: HTTP-запросы, содержащие authenticationToken=j:%7B%7Dили authenticationToken=j:{}. - Виртуальные машины: виртуальная машина с именем pivot2. - Измененные конфигурации виртуальных машин: виртуальные машины, настроенные с использованием hvm_serial: file параметра. - Необычные файлы: /etc/cron.d/zz-ustar , /etc/cron.d/zz-ustar2, /.ustar5, и /.ustar6. Вместе с тем, Vates предупреждает, что эксплуатация уязвимости не приведет к созданию каких-либо идентификаторов в журналах, таких как использование специально созданных файлов cookie, и вместо этого должна быть обнаружена посредством мониторинга HTTP. Компания также заявляет, что эти индикаторы компрометации связаны только с данной известной кампанией атак и могут отличаться для других субъектов угроз. Компаниям, которые считают, что их система скомпрометирована, следует регулярно менять пароли и секретные ключи, используемые в их виртуализированных средах.