Кібербезпека

Уразливість у Xen Orchestra дозволяє захопити XCP-ng; атаки тривають

У веб-платформі керування віртуалізацією Xen Orchestra виявили критичну помилку автентифікації, яку вже експлуатують. Вона дає змогу зловмисникам отримати права адміністратора і перехопити XCP-ng-хости.

2 хвилини читання
Уразливість у Xen Orchestra дозволяє захопити XCP-ng; атаки тривають
Фото: BleepingComputer

У Xen Orchestra та Xen Orchestra Appliance (XOA) виправили критичну уразливість обходу автентифікації, яку вже використовують у реальних атаках для отримання адміндоступу та захоплення XCP-ng-хостів, повідомляє Vates.

Що сталося

Недолік відстежується як VSA-2026-062 і пов'язаний з обробкою токенів автентифікації у REST API. Ідентифікатор CVE та оцінка CVSS наразі не призначені. Уразливість відкриває доступ віддаленим нападникам із мережевим доступом до інтерфейсу керування.

Помилку знайшли дослідники безпеки Filip Magic і Christoffer Olsen з TDC NET Security.

Як працює атака

За даними компанії, достатньо надіслати спеціально сформований cookie (authenticationToken=j:%7B%7D або j:{}), який містить порожній JSON-об'єкт. Це змушує платформу підхопити наявний токен авторизації і залогінити нападника як власника цього токена без справжніх облікових даних.

Отримавши доступ, зловмисник може через REST-ендпоінт /rest/v0/users/me/authentication_tokens дістати «повторно використовувані» ідентифікатори токенів входу і розширити свій доступ. За попередженням Vates, компрометація Xen Orchestra може призвести до виконання довільного коду на керованих пулах і повного захоплення XCP-ng-вузла з правами root.

Ознаки компрометації

  • Підключення до 91.211.251.112:8001 або ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333.
  • Підозрілі cookie: HTTP-запити з authenticationToken=j:%7B%7D або authenticationToken=j:{}.
  • Віртуальна машина з назвою pivot2.
  • Змінені налаштування ВМ із параметром hvm_serial: file.
  • Нетипові файли: /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5, /.ustar6.

Vates застерігає, що сліди експлуатації (зокрема спеціально сформовані cookie) не відображаються у звичайних логах і їх потрібно виявляти засобами HTTP-моніторингу. Наведені IOC стосуються саме зафіксованої кампанії і можуть відрізнятися в інших зловмисників.

Що робити адміністраторам

  • Негайно оновити Xen Orchestra до версій 6.9.1 (stable) або 6.10.0 (latest); пакети xo-server — до 5.211.2 або 5.213.1.
  • Якщо оновлення тимчасово недоступне — обмежити доступ до Xen Orchestra окремими мережами керування і блокувати відомі зловмисні IP.
  • Після інциденту ротувати паролі та секрети в середовищі віртуалізації.

Перевірка хостів XCP-ng

  • Перегляд ВМ із нестандартним серійним портом: xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'
  • Пошук згадок про -serial file: zgrep -- '-serial file:' /var/log/xensource.log*
  • Пошук підозрілих файлів: ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*

Джерела

Читайте також