黑客利用 Xen Orchestra 严重认证绕过漏洞获取管理员权限

文章标题：黑客利用 Xen Orchestra 严重认证绕过漏洞获取管理员访问权限

正文：

法国软件公司 Vates VMS 警告称，Xen Orchestra 中存在一个严重安全漏洞，并表示该漏洞正在野外被积极利用。

该认证绕过漏洞目前尚无 CVE 编号，被追踪为 VSA-2026-062。

“REST cookie 解析会将 authenticationToken=j:%7B%7D 转换为 {}，”Vates VMS 在一份警报中表示。“REST 认证将该对象传递给 XO token provider，而无需其必须为字符串。”

“token 集合将 {} 视为未过滤的查找，并返回其第一个 token；如果该 token 未过期，provider 就会以该 token 所有者的身份进行认证。随后，经过认证的 /rest/v0/users/me/authentication_tokens 路由会返回可复用的登录 token ID。”

换言之，该漏洞可允许攻击者通过发送特制的 cookie 绕过认证，并以“Admin”权限执行任意操作，最终导致在受管池上执行任意代码，并以 root 身份完全接管 XCP-ng 节点。

Vates VMS 表示，其观察到该漏洞正被来自以下 IP 地址和 TOR 域名的威胁行为者积极利用——

• 91.211.251[.]112:8001，该地址在 VirusTotal 上被标记为 RedLine Stealer 命令与控制（C2）服务器

• ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid[.]onion:3333

目前尚不清楚该活动何时开始，以及该漏洞是否被作为零日漏洞利用。

其他入侵指标列示如下——

• 包含 authenticationToken=j:%7B%7D 或 authenticationToken=j:{} 的 HTTP 请求

• 一个名为 pivot2 的运行中虚拟机

• 使用“hvm_serial: file”参数配置的虚拟机

• 名为 /etc/cron.d/zz-ustar2、/etc/cron.d/zz-ustar、/.ustar5 和 /.ustar6 的可疑文件

该问题已在 stable 和 latest 渠道的 Xen Orchestra 6.9.1 和 6.10.0 中，以及 xo-server 5.211.2 和 5.213.1 版本中得到解决。如果无法立即打补丁，建议采取以下缓解措施——

• 避免将 Xen Orchestra 实例暴露在互联网上

• 阻止与恶意活动相关的 IP 地址和域名

• 在 Web 应用防火墙（WAF）或反向代理中阻止空 token

• 如果检测到入侵指标，轮换 Vates VMS 中的所有密码和密钥

来自 TDC NET Security 的 Filip Magic（@mad31k）和 Christoffer Olsen 因发现并报告该漏洞而受到致谢。

更新

Vates VMS 在另一份公告中披露，该漏洞正与第二个被追踪为 VSA-2026-063 的漏洞结合利用。成功利用该漏洞可允许非特权用户使用特制的 keys 参数导入恶意虚拟机（即 XVA 文件），并攻陷 XCP-ng 主机。

“Xen Orchestra 以 pool-admin 身份向 XAPI 发送请求，pool-admin 角色拥有完全权限，可配置系统的各个方面，并在不读取或修改 ova.xml 的情况下将流转发给 XAPI，”该公司表示。

“拥有 vm.import（JSON-RPC）、sr/import:vm（REST API）、network/action:create 或 network/action:update 权限的非特权用户，可以导入带有如下特制 keys 的原始 XVA，正如 XSA-489 和 XSA-530 中所演示的：VBD.other_config:backend-local、VM.other-config:is_system_domain、[以及] VM.platform:hvm_serial。”

该缺陷影响 Xen Orchestra Appliance 以及 6.10.1 及之前版本的 Xen Orchestra。该漏洞的修复程序目前正在开发中。

作为临时缓解措施，建议仅将授权的虚拟机导入权限限制给 Admin 用户，并禁用任何已配置以下权限的用户——

        vm.import
sr/import:vm
network/action:create
network/action:update
      

文章标题：黑客利用 Xen Orchestra 关键认证绕过漏洞获取管理员访问权限

正文： “该路径已被一个威胁行为者滥用，其最初从 91.211.251[.]112:8001 和 ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid[.]onion:3333（通过 TOR）使用 Admin 权限进行操作（VSA-2026-062），”Vates VMS 表示。