Luka w Xen Orchestra wykorzystywana w atakach, poprawka w wersjach 6.9.1 i 6.10.0

Luka VSA-2026-062 w Xen Orchestra jest aktywnie wykorzystywana w atakach i pozwala ominąć logowanie. Vates, producent oprogramowania, wydał już poprawkę. Napastnik z dostępem sieciowym do panelu zarządzania wysyła spreparowane ciasteczko z pustym obiektem JSON. Zostaje wtedy zalogowany jako właściciel istniejącego tokenu uwierzytelniania i nie potrzebuje hasła. Następnie przez REST API pobiera tokeny logowania wielokrotnego użytku, które dają mu dalszy dostęp. Według Vates przejęcie Xen Orchestra daje uprawnienia administratora. Może też prowadzić do wykonania dowolnego kodu w zarządzanych pulach i do przejęcia węzła XCP-ng z uprawnieniami root. Luka nie ma jeszcze numeru CVE ani oceny CVSS.

Kogo dotyczy

Firmy, które zarządzają środowiskiem wirtualizacji XCP-ng, w tym maszynami wirtualnymi, hostami i pulami, przez Xen Orchestra lub Xen Orchestra Appliance (XOA). Atak wymaga dostępu sieciowego do interfejsu zarządzania.

Co zrobić

Zainstalować Xen Orchestra 6.9.1 (wersja stabilna) lub 6.10.0 (najnowsza) z poprawionymi pakietami xo-server 5.211.2 i 5.213.1. Jeśli aktualizacja nie jest możliwa, ograniczyć dostęp do Xen Orchestra do wydzielonej sieci zarządzania i zablokować znane złośliwe adresy IP.