Xen Orchestra'da kimlik doğrulama atlatma açığı aktif istismar ediliyor; XCP-ng host'ları risk altında
Vates, Xen Orchestra ve XOA'daki VSA-2026-062 açığının saldırılarda kullanıldığını doğruladı. Açık yönetim arayüzüne erişen saldırgana Admin yetkisi, oradan da XCP-ng düğümlerinde root erişimi sağlayabiliyor. Düzeltme Xen Orchestra 6.9.1 ve 6.10.0'da.
Fransız sanallaştırma şirketi Vates, XCP-ng ortamlarını yönetmek için kullanılan web tabanlı Xen Orchestra platformunda kritik bir kimlik doğrulama atlatma açığını kapattı ve açığın saldırılarda kullanıldığını doğruladı. VSA-2026-062 olarak izlenen açığa henüz CVE kimliği ve CVSS puanı atanmadı.
Üreticiye göre açık, Xen Orchestra'nın kimlik doğrulama cookie'lerini işleme biçiminden kaynaklanıyor. Yönetim arayüzüne ağ erişimi olan bir saldırgan, parola olmadan mevcut bir oturumun sahibi gibi giriş yapıp Admin yetkisiyle işlem yapabiliyor. Vates, Xen Orchestra'nın ele geçirilmesinin yönetilen pool'larda kod çalıştırmaya ve XCP-ng düğümünün root olarak ele geçirilmesine uzanabileceği uyarısında bulunuyor. Açığı TDC NET Security araştırmacıları buldu.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Xen Orchestra (stable kanal) | Üretici bildirimindeki liste | 6.9.1 (xo-server 5.211.2) |
| Xen Orchestra (latest kanal) | Üretici bildirimindeki liste | 6.10.0 (xo-server 5.213.1) |
| Xen Orchestra Appliance (XOA) | Üretici bildirimindeki liste | Aynı sürümlere güncelleme |
Etkilenen sürüm aralığının ayrıntısı için Vates VSA-2026-062 bildirimine bakın. Kaynaktan derlenmiş (from sources) kurulumlar da kapsam içinde değerlendirilmeli.
Beni etkiliyor mu?
- Xen Orchestra arayüzünde Settings › About (XOA'da Updates) ekranından xo-server sürümünü kontrol edin; 5.211.2 / 5.213.1'in altındaysa etkilenirsiniz.
- Yönetim arayüzünün internetten ya da geniş kullanıcı ağlarından erişilebilir olup olmadığını güvenlik duvarı kurallarınızdan doğrulayın.
- Vates'in paylaştığı göstergeler için XCP-ng host'larında aşağıdaki salt okunur kontrolleri yapabilirsiniz:
Xen Orchestra'da Home › VMs listesinde "pivot2" adlı bir VM olup olmadığına ve VM ayrıntılarındaki platform alanında seri portun dosyaya yönlendirilip yönlendirilmediğine bakın. Host'ta:
zgrep -- '-serial file:' /var/log/xensource.log*
ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*Vates'e göre istismar, Xen Orchestra günlüklerinde iz bırakmıyor; tespit için HTTP trafiğinin izlenmesi gerekiyor.
Ne yapılmalı?
- Xen Orchestra'yı derhal 6.9.1 (stable) ya da 6.10.0 (latest) sürümüne, XOA'yı güncelleme ekranından aynı sürümlere yükseltin.
- Hemen güncelleyemiyorsanız yönetim arayüzüne erişimi yalnızca ayrılmış yönetim ağıyla sınırlandırın (workaround); bu adımı change management kaydıyla belgeleyin.
- Bildirimdeki IOC'leri arayın:
91.211.251.112adresine 8001 portundan bağlantılar, "pivot2" adlı VM, seri portu dosyaya yönlendirilmiş VM'ler ve/etc/cron.d/zz-ustar*gibi beklenmeyen dosyalar. Vates bu göstergelerin yalnızca bilinen kampanyaya ait olduğunu, başka saldırganlarda farklı olabileceğini belirtiyor. - Ele geçirilme şüphesi varsa sanallaştırma ortamında kullanılan parolaları ve sırları (API token'ları dahil) yenileyin ve olay müdahale sürecini başlatın.
