Die Lücke wird unter der Kennung VSA-2026-062 geführt. Betroffen sind Xen Orchestra und die Xen Orchestra Appliance (XOA). Eine CVE-Nummer und ein CVSS-Wert wurden bislang nicht vergeben. Ausnutzen lässt sich die Schwachstelle aus der Ferne, sofern Angreifer die Verwaltungsoberfläche über das Netzwerk erreichen. Entdeckt haben sie die Sicherheitsforscher Filip Magic und Christoffer Olsen von TDC NET Security.

Nach Angaben von Vates liegt die Ursache darin, wie Xen Orchestra Authentifizierungstoken und -Cookies verarbeitet, die mit REST-API-Anfragen übermittelt werden. Schicken Angreifer ein präpariertes Cookie (authenticationToken=j:%7B%7D), das ein leeres JSON-Objekt ({}) enthält, greift die Plattform auf ein vorhandenes Authentifizierungstoken zurück und meldet sie als dessen Inhaber an, ganz ohne Zugangsdaten. Anschließend können die Angreifer über den REST-API-Endpunkt /rest/v0/users/me/authentication_tokens wiederverwendbare Login-Token-IDs abrufen und sich so weiteren Zugang sichern. Vates warnt: „Ein Angreifer kann die Authentifizierung umgehen und Aktionen mit Admin-Rechten ausführen. Eine Kompromittierung von Xen Orchestra kann zur Ausführung beliebigen Codes auf verwalteten Pools und zur vollständigen Übernahme eines XCP-ng-Knotens als root führen.“

Behoben ist die Lücke in Xen Orchestra 6.9.1 (stable) und 6.10.0 (latest) mit den xo-server-Paketen 5.211.2 und 5.213.1. Administratoren sollen sofort aktualisieren. Ist das nicht möglich, sollten sie den Zugriff auf Xen Orchestra auf dedizierte Verwaltungsnetze beschränken und bekannte bösartige IP-Adressen sperren.

Zur Erkennung von Angriffen hat Vates folgende Kompromittierungsindikatoren veröffentlicht:

  • Verbindungen zu 91.211.251.112:8001 oder ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333
  • HTTP-Anfragen mit authenticationToken=j:%7B%7D oder authenticationToken=j:{}
  • eine virtuelle Maschine namens pivot2
  • VMs, die mit dem Parameter hvm_serial: file konfiguriert sind
  • die Dateien /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 und /.ustar6

Auf XCP-ng-Hosts können Administratoren zudem mit Befehlen nach auffälligen VM-Konfigurationen, VMs mit einer Datei als serieller Schnittstelle und den genannten Dateien suchen. Vates weist allerdings darauf hin, dass die Ausnutzung keine Spuren in den Logs hinterlässt, etwa die präparierten Cookies. Angriffe lassen sich nur durch Überwachung des HTTP-Verkehrs erkennen. Die Indikatoren gehören laut Hersteller nur zu dieser bekannten Kampagne und können bei anderen Angreifern abweichen. Wer eine Kompromittierung vermutet, sollte die Passwörter und Geheimnisse der Virtualisierungsumgebung austauschen.