Xen Orchestra-omgåelse af godkendelse giver admin-adgang og kan føre til overtagelse af XCP-ng-værter

Hvad skete der

Den 10. november 2026 offentliggjorde Vates sikkerhedsadvarslen VSA-2026-062 om en kritisk omgåelse af godkendelse i Xen Orchestra. Xen Orchestra er den webbaserede administrationsgrænseflade til XCP-ng-virtualiseringsmiljøer. Der er endnu ikke tildelt et CVE-ID eller en CVSS-score.

Fejlen ligger i den måde, REST-API'et håndterer login-cookien på. En cookie med værdien authenticationToken=j:%7B%7D bliver fortolket som et tomt objekt ({}). Dette objekt sendes videre til tokenkontrollen uden at blive verificeret som en streng. Tokenopslaget returnerer derefter det første gemte token, og anmodningen godkendes som ejeren af dette token, så længe tokenet ikke er udløbet. Via endpointet /rest/v0/users/me/authentication_tokens kan en angriber herefter læse genbrugelige login-token-ID'er.

Ifølge Vates kan en angriber bruge dette til at udføre handlinger med admin-rettigheder i Xen Orchestra uden legitimationsoplysninger. Det kan føre til vilkårlig kodeudførelse på administrerede pools og til fuld overtagelse af XCP-ng-værter med root-rettigheder.

Vates oplyser, at sårbarheden aktivt udnyttes af en trusselsaktør, der opererer fra 91.211.251.112:8001 og fra en Tor-adresse (se nedenfor). Det vides ikke, hvornår angrebene startede, eller om fejlen blev udnyttet, før rettelsen blev udgivet. Fejlen blev opdaget af Filip Magic og Christoffer Olsen fra TDC NET Security.

Hvem er berørt

• Xen Orchestra før 6.9.1 (stable-kanalen) og før 6.10.0 (latest-kanalen)
• de tilsvarende xo-server-pakker før 5.211.2 (stable) og 5.213.1 (latest)
• Xen Orchestra Appliance (XOA)

Angriberen skal have netværksadgang til Xen Orchestra-webgrænsefladen. Installationer, der kan nås fra internettet, har den højeste risiko. XCP-ng-værter er i fare, fordi Xen Orchestra administrerer dem. Hvis du ikke kører Xen Orchestra, berører denne advarsel dig ikke.

Hvad du bør gøre nu

1. Opdater Xen Orchestra. Installer Xen Orchestra 6.9.1 på stable-kanalen eller 6.10.0 på latest-kanalen. Disse indeholder xo-server 5.211.2 (stable) eller 5.213.1 (latest). Tag en backup af Xen Orchestra-konfigurationen først. Efter opdateringen skal du kontrollere, at xo-server kører, og at du kan logge ind og se dine pools.
2. Begræns adgangen. Eksponer ikke Xen Orchestra til internettet. Vates anbefaler at placere systemet på et dedikeret administrationsnetværk, som kun administratorer kan nå, for eksempel via en VPN.
3. Bloker angriberens infrastruktur. Vates anbefaler ind- og udgående filterregler for 91.211.251.112 og blokering af Tor-trafik, så værterne ikke kan nå ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion.
4. Hvis du ikke kan opdatere med det samme, bør du blokere det tomme token i en WAF eller reverse proxy foran Xen Orchestra. Filtrér efter cookie-mønstrene authenticationToken=j:{} og authenticationToken=j:%7B%7D.
5. Tjek for kompromittering (se næste afsnit). Hvis du finder tegn på kompromittering, skal du skifte alle adgangskoder og hemmeligheder, der bruges i dit Xen Orchestra- og XCP-ng-miljø, og undersøge de berørte værter og VM'er.

Sådan tjekker du, om du er berørt

Kontrollér først din Xen Orchestra-version i webgrænsefladen eller på appliancen. Hvis den er ældre end 6.9.1 (stable) eller 6.10.0 (latest), er systemet sårbart.

Vates og de offentliggjorte rapporter angiver følgende kompromitteringsindikatorer for den kendte angrebskampagne:

• HTTP-anmodninger, der indeholder authenticationToken=j:%7B%7D eller authenticationToken=j:{}
• forbindelser til 91.211.251.112:8001 eller ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333
• en virtuel maskine ved navn pivot2
• virtuelle maskiner konfigureret med hvm_serial: file
• filerne /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 og /.ustar6

På XCP-ng-værterne kan du køre de kontroller, som Vates anbefaler:

xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'

zgrep -- '-serial file:' /var/log/xensource.log*

ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*

Led også efter en VM ved navn pivot2, for eksempel med xe vm-list name-label=pivot2.

Ifølge rapporterne logger Xen Orchestra ikke den skabte cookie. Du kan kun opdage den via HTTP-overvågning, for eksempel i adgangslogfilerne fra en reverse proxy foran Xen Orchestra. Kontrollér disse logfiler og dine firewalllogfiler for cookie-mønstrene og adresserne ovenfor. Vates bemærker, at disse indikatorer hører til én kendt kampagne. Andre angribere kan efterlade andre spor, så at du ikke finder nogen af dem, beviser ikke, at et system er rent.

Kilder

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/hackers-exploit-critical-xen-orchestra.html