У Xen Orchestra виявлено критичну вразливість, яку використовують для захоплення серверів

Компанія Vates повідомила про виявлення критичної вразливості в платформі управління Xen Orchestra, яка дозволяє зловмисникам обходити процедуру автентифікації. Проблема, зареєстрована під ідентифікатором VSA-2026-062, зачіпає як програмне забезпечення Xen Orchestra, так і Xen Orchestra Appliance. Згідно з даними розробника, вразливість виникає через некоректну обробку файлів cookie при виконанні запитів до REST API.

Про це повідомляє BleepingComputer з посиланням на docs.vates.tech

Надсилаючи спеціально сформований cookie з порожнім JSON-об’єктом, зловмисники можуть примусити систему прийняти їх як авторизованих користувачів без надання дійсних облікових даних. Після цього атакуючі отримують можливість вилучати ідентифікатори сесій та виконувати дії від імені адміністратора.

An adversary can bypass authentication and perform actions with Admin privilege. Xen Orchestra compromise can lead to arbitrary code execution on managed pools and a full XCP-ng node takeover as root.

— Vates

Вразливість виявили дослідники безпеки Філіп Меджик та Крістофер Олсен з компанії TDC NET Security. Vates підтвердила, що вразливість вже використовується в реальних атаках. Зокрема, зафіксовано активність зловмисників через певні IP-адреси та Tor-вузли, а також виявлено специфічні сліди в інфраструктурі, такі як підозрілі назви віртуальних машин або наявність файлів у системних директоріях.

Компанія-розробник випустила оновлені версії Xen Orchestra 6.9.1 та 6.10.0, а також відповідні патчі для пакетів xo-server. Vates наголошує, що адміністратори повинні негайно оновити системи. У разі неможливості негайного встановлення патчів, рекомендовано обмежити доступ до інтерфейсу управління лише захищеними мережами та заблокувати підозрілі мережеві з’єднання. Якщо компрометацію системи вже здійснено, адміністраторам слід змінити всі паролі та секретні ключі, що використовуються у віртуалізаційному середовищі.