Krytyczna luka w Xen Orchestra wykorzystywana w atakach, poprawka w 6.9.2 i 6.10.1

Vates ostrzega, że krytyczna luka w uwierzytelnianiu Xen Orchestra jest wykorzystywana w atakach. Napastnik nie musi się logować, żeby dostać prawa administratora. Poprawka jest w wersjach 6.9.2 i 6.10.1. Błąd tkwi w mechanizmie uwierzytelniania REST. Token zamienia się w pusty obiekt, a system zwraca pierwszy token z kolekcji i w ten sposób odsłania identyfikatory tokenów logowania. Według producenta przejęcie Xen Orchestra może prowadzić do wykonania dowolnego kodu w zarządzanych pulach i do przejęcia węzła XCP-ng z uprawnieniami root. Ten sam napastnik wykorzystuje też lukę zero-day, która wymaga uprawnień administratora i pozwala zaimportować złośliwą maszynę wirtualną. Poprawka na nią jeszcze powstaje. Żadna z luk nie ma numeru CVE.

Kogo dotyczy

Luka dotyczy wydań Xen Orchestra starszych niż 6.9.2 (stable) i 6.10.1 (latest) oraz Xen Orchestra Appliance, czyli firm, które zarządzają środowiskami wirtualizacji XCP-ng i XenServer.

Co zrobić

Zaktualizuj Xen Orchestra do wersji 6.9.2 lub 6.10.1. Nieautoryzowany dostęp nie trafia do logów. Vates udostępnił wskaźniki kompromitacji tylko dla tej kampanii, więc ich brak nie wyklucza włamania.