Xen-Orchestra-Authentifizierungsumgehung ermöglicht Administratorzugriff und kann zur Übernahme von XCP-ng-Hosts führen

Was passiert ist

Am 10. November 2026 veröffentlichte Vates die Sicherheitswarnung VSA-2026-062 zu einer kritischen Authentifizierungsumgehung in Xen Orchestra. Xen Orchestra ist die webbasierte Verwaltungsoberfläche für XCP-ng-Virtualisierungsumgebungen. Eine CVE-ID oder ein CVSS-Wert wurde bisher nicht vergeben.

Die Schwachstelle liegt in der Art, wie die REST-API das Login-Cookie verarbeitet. Ein Cookie mit dem Wert authenticationToken=j:%7B%7D wird in ein leeres Objekt ({}) geparst. Dieses Objekt wird an die Token-Prüfung übergeben, ohne zu verifizieren, dass es sich um eine Zeichenkette handelt. Die Token-Suche liefert danach das erste gespeicherte Token zurück, und die Anfrage wird als Inhaber dieses Tokens authentifiziert, solange das Token nicht abgelaufen ist. Über den Endpunkt /rest/v0/users/me/authentication_tokens kann ein Angreifer anschließend wiederverwendbare Login-Token-IDs auslesen.

Laut Vates kann ein Angreifer damit Aktionen mit Administratorrechten in Xen Orchestra ohne Zugangsdaten ausführen. Dies kann zur beliebigen Codeausführung auf verwalteten Pools und zur vollständigen Übernahme von XCP-ng-Hosts mit Root-Rechten führen.

Vates teilt mit, dass die Schwachstelle aktiv von einem Angreifer ausgenutzt wird, der von 91.211.251.112:8001 sowie von einer Tor-Adresse (siehe unten) aus agiert. Es ist nicht bekannt, wann die Angriffe begannen oder ob die Schwachstelle bereits vor der Veröffentlichung des Fixes ausgenutzt wurde. Die Schwachstelle wurde von Filip Magic und Christoffer Olsen von TDC NET Security entdeckt.

Wer betroffen ist

• Xen Orchestra vor 6.9.1 (Stable-Kanal) und vor 6.10.0 (Latest-Kanal)
• die entsprechenden xo-server-Pakete vor 5.211.2 (Stable) und 5.213.1 (Latest)
• die Xen Orchestra Appliance (XOA)

Der Angreifer benötigt Netzwerkzugang zur Weboberfläche von Xen Orchestra. Aus dem Internet erreichbare Instanzen sind am stärksten gefährdet. XCP-ng-Hosts sind gefährdet, weil Xen Orchestra sie verwaltet. Wenn Sie Xen Orchestra nicht betreiben, betrifft Sie diese Warnung nicht.

Was Sie jetzt tun sollten

1. Xen Orchestra aktualisieren. Installieren Sie Xen Orchestra 6.9.1 im Stable-Kanal oder 6.10.0 im Latest-Kanal. Diese enthalten xo-server 5.211.2 (Stable) bzw. 5.213.1 (Latest). Sichern Sie zuvor die Konfiguration von Xen Orchestra. Prüfen Sie nach dem Update, ob xo-server läuft und Sie sich anmelden und Ihre Pools sehen können.
2. Zugriff einschränken. Setzen Sie Xen Orchestra nicht dem Internet aus. Vates empfiehlt, die Anwendung in ein dediziertes Management-Netzwerk zu legen, das nur Administratoren erreichen, beispielsweise über ein VPN.
3. Angreifer-Infrastruktur blockieren. Vates empfiehlt Ein- und Ausgangsfilterregeln für 91.211.251.112 sowie das Blockieren von Tor-Verkehr, damit die Hosts ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion nicht erreichen können.
4. Falls Sie nicht sofort aktualisieren können, blockieren Sie das leere Token in einer WAF oder einem Reverse Proxy vor Xen Orchestra. Filtern Sie nach den Cookie-Mustern authenticationToken=j:{} und authenticationToken=j:%7B%7D.
5. Auf Kompromittierung prüfen (siehe nächster Abschnitt). Wenn Sie Anzeichen einer Kompromittierung finden, setzen Sie alle Passwörter und Geheimnisse zurück, die in Ihrer Xen-Orchestra- und XCP-ng-Umgebung verwendet werden, und untersuchen Sie die betroffenen Hosts und VMs.

So prüfen Sie, ob Sie betroffen sind

Prüfen Sie zunächst die Version von Xen Orchestra in der Weboberfläche oder auf der Appliance. Ist sie älter als 6.9.1 (Stable) oder 6.10.0 (Latest), ist das System verwundbar.

Vates und die veröffentlichten Berichte nennen folgende Indikatoren für eine Kompromittierung durch die bekannte Angriffskampagne:

• HTTP-Anfragen mit authenticationToken=j:%7B%7D oder authenticationToken=j:{}
• Verbindungen zu 91.211.251.112:8001 oder ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333
• eine virtuelle Maschine mit dem Namen pivot2
• virtuelle Maschinen, die mit hvm_serial: file konfiguriert sind
• die Dateien /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 und /.ustar6

Führen Sie auf den XCP-ng-Hosts die von Vates empfohlenen Prüfungen aus:

xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'

zgrep -- '-serial file:' /var/log/xensource.log*

ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*

Suchen Sie außerdem nach einer VM mit dem Namen pivot2, etwa mit xe vm-list name-label=pivot2.

Laut den Berichten protokolliert Xen Orchestra das präparierte Cookie nicht. Sie können es nur über HTTP-Überwachung erkennen, etwa in den Zugriffsprotokollen eines Reverse Proxys vor Xen Orchestra. Prüfen Sie diese Protokolle und Ihre Firewall-Logs auf die Cookie-Muster und die oben genannten Adressen. Vates weist darauf hin, dass diese Indikatoren zu einer bekannten Kampagne gehören. Andere Angreifer hinterlassen möglicherweise andere Spuren, daher beweist das Fehlen dieser Indikatoren nicht, dass ein System sauber ist.

Quellen

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/hackers-exploit-critical-xen-orchestra.html