Autentiseringsförbikoppling i Xen Orchestra ger admin-åtkomst och kan leda till övertagande av XCP-ng-värdar

Vad hände

Den 10 november 2026 publicerade Vates säkerhetsrapporten VSA-2026-062 om en kritisk autentiseringsförbikoppling i Xen Orchestra. Xen Orchestra är det webbaserade hanteringsgränssnittet för XCP-ng-virtualiseringsmiljöer. Något CVE-ID eller CVSS-poäng har ännu inte tilldelats.

Bristen finns i hur REST API:et hanterar inloggningscookien. En cookie med värdet authenticationToken=j:%7B%7D tolkas som ett tomt objekt ({}). Objektet skickas vidare till tokenkontrollen utan att man verifierar att det är en sträng. Tokensökningen returnerar sedan den första lagrade token-en, och begäran autentiseras som ägaren till den token-en, så länge token-en inte har gått ut. Via slutpunkten /rest/v0/users/me/authentication_tokens kan en angripare sedan läsa av återanvändbara inloggningstoken-ID:n.

Enligt Vates kan en angripare använda detta för att utföra åtgärder med adminbehörighet i Xen Orchestra utan autentiseringsuppgifter. Detta kan leda till godtycklig kodkörning på hanterade pooler och till att XCP-ng-värdarna helt övertas som root.

Vates uppger att sårbarheten aktivt utnyttjas av en hotaktör som opererar från 91.211.251.112:8001 och från en Tor-adress (se nedan). Det är inte känt när attackerna började eller om bristen utnyttjades innan korrigeringen släpptes. Bristen upptäcktes av Filip Magic och Christoffer Olsen på TDC NET Security.

Vilka som påverkas

• Xen Orchestra före 6.9.1 (stabil kanal) och före 6.10.0 (senaste kanal)
• motsvarande xo-server-paket före 5.211.2 (stabil) och 5.213.1 (senaste)
• Xen Orchestra Appliance (XOA)

Angriparen behöver nätverksåtkomst till Xen Orchestras webbgränssnitt. Instanser som går att nå från internet löper störst risk. XCP-ng-värdar är också utsatta eftersom Xen Orchestra hanterar dem. Om du inte kör Xen Orchestra påverkas du inte av denna rapport.

Vad du bör göra nu

1. Uppdatera Xen Orchestra. Installera Xen Orchestra 6.9.1 på den stabila kanalen eller 6.10.0 på den senaste kanalen. Dessa innehåller xo-server 5.211.2 (stabil) respektive 5.213.1 (senaste). Säkerhetskopiera Xen Orchestra-konfigurationen först. Efter uppdateringen bör du kontrollera att xo-server körs och att du kan logga in och se dina pooler.
2. Begränsa åtkomsten. Exponera inte Xen Orchestra mot internet. Vates rekommenderar att du placerar det i ett dedikerat hanteringsnätverk som bara administratörer kan nå, till exempel via en VPN.
3. Blockera angriparens infrastruktur. Vates rekommenderar inkommande och utgående filterregler för 91.211.251.112 och blockering av Tor-trafik, så att värdarna inte kan nå ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion.
4. Om du inte kan uppdatera omedelbart, blockera den tomma token-en i en WAF eller reverse proxy framför Xen Orchestra. Matcha cookie-mönstren authenticationToken=j:{} och authenticationToken=j:%7B%7D.
5. Kontrollera om du har blivit komprometterad (se nästa avsnitt). Om du hittar tecken på intrång bör du byta alla lösenord och hemligheter som används i din Xen Orchestra- och XCP-ng-miljö och undersöka de drabbade värdarna och VM:erna.

Så kontrollerar du om du är påverkad

Kontrollera först din Xen Orchestra-version i webbgränssnittet eller på appliancen. Om den är äldre än 6.9.1 (stabil) eller 6.10.0 (senaste) är systemet sårbart.

Vates och de publicerade rapporterna listar följande indikatorer på intrång för den kända attackkampanjen:

• HTTP-förfrågningar som innehåller authenticationToken=j:%7B%7D eller authenticationToken=j:{}
• anslutningar till 91.211.251.112:8001 eller ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333
• en virtuell maskin med namnet pivot2
• virtuella maskiner konfigurerade med hvm_serial: file
• filerna /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 och /.ustar6

På XCP-ng-värdarna kör du de kontroller som Vates rekommenderar:

xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'

zgrep -- '-serial file:' /var/log/xensource.log*

ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*

Leta också efter en VM med namnet pivot2, till exempel med xe vm-list name-label=pivot2.

Enligt rapporterna loggar inte Xen Orchestra den manipulerade cookien. Du kan bara upptäcka den genom HTTP-övervakning, till exempel i åtkomstloggarna för en reverse proxy framför Xen Orchestra. Kontrollera dessa loggar och dina brandväggsloggar efter cookie-mönstren och adresserna ovan. Vates påpekar att dessa indikatorer hör till en känd kampanj. Andra angripare kan lämna andra spår, så att du inte hittar något av ovanstående betyder inte att systemet är rent.

Källor

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/hackers-exploit-critical-xen-orchestra.html