Autentiseringsomgåelse i Xen Orchestra gir admin-tilgang og kan føre til overtakelse av XCP-ng-verter

Hva skjedde

Den 10. november 2026 publiserte Vates sikkerhetsvarselet VSA-2026-062 om en kritisk autentiseringsomgåelse i Xen Orchestra. Xen Orchestra er det webbaserte administrasjonsgrensesnittet for XCP-ng-virtualiseringsmiljøer. Det er ennå ikke tildelt noen CVE-ID eller CVSS-poengsum.

Feilen ligger i hvordan REST-API-et håndterer innloggingscookien. En cookie med verdien authenticationToken=j:%7B%7D blir tolket som et tomt objekt ({}). Dette objektet sendes til tokenkontrollen uten at det kontrolleres at det er en streng. Tokenoppslaget returnerer da det første lagrede tokenet, og forespørselen blir autentisert som eieren av dette tokenet, så lenge tokenet ikke er utløpt. Via endepunktet /rest/v0/users/me/authentication_tokens kan en angriper deretter lese gjenbrukbare innloggingstoken-ID-er.

Ifølge Vates kan en angriper bruke dette til å utføre handlinger med administratorrettigheter i Xen Orchestra uten legitimasjon. Dette kan føre til vilkårlig kodekjøring på administrerte pooler og full overtakelse av XCP-ng-verter som root.

Vates opplyser at sårbarheten aktivt utnyttes av en trusselaktør som opererer fra 91.211.251.112:8001 og fra en Tor-adresse (se nedenfor). Det er ikke kjent når angrepene startet, eller om feilen ble utnyttet før rettelsen ble sluppet. Feilen ble oppdaget av Filip Magic og Christoffer Olsen i TDC NET Security.

Hvem er berørt

• Xen Orchestra før 6.9.1 (stabil kanal) og før 6.10.0 (latest-kanal)
• de tilhørende xo-server-pakkene før 5.211.2 (stabil) og 5.213.1 (latest)
• Xen Orchestra Appliance (XOA)

Angriperen trenger nettverkstilgang til Xen Orchestra-grensesnittet. Installasjoner som kan nås fra internett har høyest risiko. XCP-ng-verter er også i fare fordi Xen Orchestra administrerer dem. Hvis du ikke kjører Xen Orchestra, berører dette varselet deg ikke.

Hva du bør gjøre nå

1. Oppdater Xen Orchestra. Installer Xen Orchestra 6.9.1 på stabil kanal eller 6.10.0 på latest-kanal. Disse inkluderer xo-server 5.211.2 (stabil) eller 5.213.1 (latest). Ta en sikkerhetskopi av konfigurasjonen til Xen Orchestra først. Etter oppdateringen bør du bekrefte at xo-server kjører, og at du kan logge inn og se poolene dine.
2. Begrens tilgangen. Ikke gjør Xen Orchestra tilgjengelig fra internett. Vates anbefaler at du plasserer det på et dedikert administrasjonsnettverk som bare administratorer kan nå, for eksempel via en VPN.
3. Blokker angriperens infrastruktur. Vates anbefaler inngående og utgående filterregler for 91.211.251.112 og blokkering av Tor-trafikk, slik at vertene ikke kan nå ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion.
4. Hvis du ikke kan oppdatere med en gang, bør du blokkere det tomme tokenet i en WAF eller reverse proxy foran Xen Orchestra. Filtrer på cookie-mønstrene authenticationToken=j:{} og authenticationToken=j:%7B%7D.
5. Sjekk for kompromittering (se neste avsnitt). Hvis du finner tegn på kompromittering, bør du bytte alle passord og hemmeligheter som brukes i Xen Orchestra- og XCP-ng-miljøet ditt, og undersøke de berørte vertene og VM-ene.

Slik sjekker du om du er berørt

Start med å sjekke versjonen av Xen Orchestra i webgrensesnittet eller på appliancen. Er den eldre enn 6.9.1 (stabil) eller 6.10.0 (latest), er systemet sårbart.

Vates og de publiserte rapportene lister opp disse indikatorene for kompromittering i den kjente angrepskampanjen:

• HTTP-forespørsler som inneholder authenticationToken=j:%7B%7D eller authenticationToken=j:{}
• tilkoblinger til 91.211.251.112:8001 eller ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333
• en virtuell maskin med navnet pivot2
• virtuelle maskiner konfigurert med hvm_serial: file
• filene /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 og /.ustar6

På XCP-ng-vertene kjører du kontrollene Vates anbefaler:

xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'

zgrep -- '-serial file:' /var/log/xensource.log*

ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*

Se også etter en VM med navnet pivot2, for eksempel med xe vm-list name-label=pivot2.

Ifølge rapportene logger ikke Xen Orchestra den spesiallagde cookien. Du kan bare oppdage den gjennom HTTP-overvåking, for eksempel i tilgangsloggene til en reverse proxy foran Xen Orchestra. Sjekk disse loggene og brannmurloggene dine for cookie-mønstrene og adressene over. Vates påpeker at disse indikatorene hører til én kjent kampanje. Andre angripere kan etterlate andre spor, så at du ikke finner noen av dem, beviser ikke at systemet er rent.

Kilder

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/hackers-exploit-critical-xen-orchestra.html