Xen Orchestra: обход входа пустой cookie и захват гипервизоров XCP-ng под root

Что случилось

Французская Vates подтвердила, что критическая уязвимость обхода аутентификации в Xen Orchestra используется в реальных атаках. Проблема получила внутренний номер VSA-2026-062, идентификатор CVE и оценку CVSS ей пока не присвоили.

Xen Orchestra — веб-платформа управления средами XCP-ng: виртуальными машинами, хостами и пулами. Успешный обход даёт права администратора панели, а от них — выполнение произвольного кода в управляемых пулах и полный захват узла XCP-ng с правами root.

Детали

Ошибка кроется в обработке cookie аутентификации, которые платформа принимает в запросах REST API. Достаточно отправить подделанную cookie вида authenticationToken=j:%7B%7D — это закодированный пустой JSON-объект. Вместо проверки токена Xen Orchestra находит существующий токен в хранилище и входит под его владельцем, не требуя учётных данных.

Закрепившись, атакующий запрашивает через REST-метод /rest/v0/users/me/authentication_tokens список переиспользуемых идентификаторов токенов входа и пользуется ими дальше.

• уязвимы Xen Orchestra и Xen Orchestra Appliance (XOA);
• исправления — в версиях 6.9.1 (stable) и 6.10.0 (latest), то есть в пакетах xo-server 5.211.2 и 5.213.1;
• уязвимость нашли Филип Магич и Кристоффер Ольсен из TDC NET Security.

Vates опубликовала индикаторы компрометации. Среди них обращения к 91.211.251.112:8001 и к узлу в сети Tor на порту 3333, запросы с cookie authenticationToken=j:{}, виртуальные машины с параметром hvm_serial: file в конфигурации и файлы /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5, /.ustar6.

Проверить узлы XCP-ng можно командой:

xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'

Здесь важная оговорка: сама эксплуатация может не оставить в логах явных следов вроде имени пользователя или идентификатора сессии — подделанную cookie надо искать в журналах HTTP, а не в журналах событий платформы.

Что это значит

Xen Orchestra — это панель, через которую администратор управляет всем гипервизорным хозяйством, и обход входа в неё равносилен передаче root на узлы. Если панель смотрит в интернет или в общую корпоративную сеть, обновляться нужно сразу: 6.9.1 либо 6.10.0, в зависимости от выбранной ветки.

Пока обновление не установлено, Vates советует вынести интерфейс управления в отдельный сегмент сети, закрыть его от остальных подсетей и заблокировать известные адреса атакующих. После обновления смените пароли и секреты, которые использовались в среде виртуализации, — при таком уровне доступа их нельзя считать сохранёнными. И проверьте конфигурации виртуальных машин: параметр, отдающий последовательный порт в файл, в нормальной среде не встречается.