Authenticatieomzeiling in Xen Orchestra geeft beheerderstoegang en kan leiden tot overname van XCP-ng-hosts

Wat is er gebeurd

Op 10 november 2026 heeft Vates het beveiligingsadvies VSA-2026-062 gepubliceerd over een kritieke authenticatieomzeiling in Xen Orchestra. Xen Orchestra is de webgebaseerde beheerinterface voor XCP-ng-virtualisatieomgevingen. Er is nog geen CVE-ID of CVSS-score toegekend.

De kwetsbaarheid zit in de manier waarop de REST API het inlogcookie verwerkt. Een cookie met de waarde authenticationToken=j:%7B%7D wordt omgezet in een leeg object ({}). Dit object wordt doorgegeven aan de tokencontrole zonder te verifiëren of het een tekenreeks is. De tokenzoekactie geeft vervolgens het eerste opgeslagen token terug, en het verzoek wordt geauthenticeerd als de eigenaar van dat token, zolang het token niet is verlopen. Via het eindpunt /rest/v0/users/me/authentication_tokens kan een aanvaller daarna herbruikbare inlogtoken-ID's uitlezen.

Volgens Vates kan een aanvaller dit gebruiken om handelingen met Admin-rechten in Xen Orchestra uit te voeren zonder inloggegevens. Dit kan leiden tot willekeurige codeuitvoering op beheerde pools en tot een volledige overname van XCP-ng-hosts als root.

Vates stelt dat de kwetsbaarheid actief wordt misbruikt door een dreigingsactor die opereert vanaf 91.211.251.112:8001 en vanaf een Tor-adres (zie hieronder). Het is niet bekend wanneer de aanvallen zijn begonnen of of de kwetsbaarheid al vóór de release van de oplossing werd misbruikt. De kwetsbaarheid is ontdekt door Filip Magic en Christoffer Olsen van TDC NET Security.

Wie is getroffen

• Xen Orchestra vóór 6.9.1 (stable-kanaal) en vóór 6.10.0 (latest-kanaal)
• de bijbehorende xo-server-pakketten vóór 5.211.2 (stable) en 5.213.1 (latest)
• de Xen Orchestra Appliance (XOA)

De aanvaller heeft netwerktoegang tot de webinterface van Xen Orchestra nodig. Instanties die vanaf internet bereikbaar zijn, lopen het grootste risico. XCP-ng-hosts lopen risico omdat Xen Orchestra ze beheert. Als u Xen Orchestra niet gebruikt, heeft dit advies geen gevolgen voor u.

Wat u nu moet doen

1. Werk Xen Orchestra bij. Installeer Xen Orchestra 6.9.1 op het stable-kanaal of 6.10.0 op het latest-kanaal. Deze versies bevatten xo-server 5.211.2 (stable) of 5.213.1 (latest). Maak eerst een back-up van de configuratie van Xen Orchestra. Controleer na de update of xo-server draait en of u kunt inloggen en uw pools ziet.
2. Beperk de toegang. Stel Xen Orchestra niet bloot aan internet. Vates raadt aan het op een speciaal beheernetwerk te plaatsen dat alleen beheerders kunnen bereiken, bijvoorbeeld via een VPN.
3. Blokkeer de infrastructuur van de aanvaller. Vates raadt inkomende en uitgaande filterregels aan voor 91.211.251.112 en het blokkeren van Tor-verkeer, zodat de hosts ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion niet kunnen bereiken.
4. Als u niet direct kunt bijwerken, blokkeer dan het lege token in een WAF of reverse proxy voor Xen Orchestra. Filter op de cookiepatronen authenticationToken=j:{} en authenticationToken=j:%7B%7D.
5. Controleer op compromittering (zie de volgende sectie). Als u tekenen van compromittering vindt, wijzig dan alle wachtwoorden en geheimen die in uw Xen Orchestra- en XCP-ng-omgeving worden gebruikt, en onderzoek de getroffen hosts en VM's.

Hoe u kunt nagaan of u getroffen bent

Controleer eerst de versie van Xen Orchestra in de webinterface of op de appliance. Als deze ouder is dan 6.9.1 (stable) of 6.10.0 (latest), is het systeem kwetsbaar.

Vates en de gepubliceerde rapporten noemen de volgende indicatoren van compromittering voor de bekende aanvalscampagne:

• HTTP-verzoeken die authenticationToken=j:%7B%7D of authenticationToken=j:{} bevatten
• verbindingen met 91.211.251.112:8001 of ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333
• een virtuele machine met de naam pivot2
• virtuele machines geconfigureerd met hvm_serial: file
• de bestanden /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 en /.ustar6

Voer op de XCP-ng-hosts de controles uit die Vates aanbeveelt:

xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'

zgrep -- '-serial file:' /var/log/xensource.log*

ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*

Zoek ook naar een VM met de naam pivot2, bijvoorbeeld met xe vm-list name-label=pivot2.

Volgens de rapporten logt Xen Orchestra het speciale cookie niet. U kunt het alleen detecteren via HTTP-monitoring, bijvoorbeeld in de toegangslogs van een reverse proxy voor Xen Orchestra. Controleer die logs en uw firewalllogs op de cookiepatronen en de hierboven genoemde adressen. Vates merkt op dat deze indicatoren bij één bekende campagne horen. Andere aanvallers kunnen andere sporen achterlaten, dus het ontbreken van deze indicatoren betekent niet dat een systeem schoon is.

Bronnen

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/hackers-exploit-critical-xen-orchestra.html