В Xen Orchestra обнаружили критическую уязвимость, которую хакеры уже используют для обхода авторизации. Достаточно подменить значение cookie, чтобы попасть в панель управления виртуализацией без пароля. Под угрозой могут оказаться целые серверные кластеры.
Компания Vates выпустила предупреждение VSA-2026-062 10 ноября. Проблема затрагивает Xen Orchestra и программный комплекс Xen Orchestra Appliance, через которые администраторы управляют виртуальными машинами и серверами XCP-ng. Разработчик присвоил бреши критический уровень опасности, хотя номер CVE и оценка CVSS пока отсутствуют.
Причина кроется в обработке cookie системой REST API. Специальное значение authenticationToken=j:%7B%7D превращается в пустой JSON-объект {}. Вместо того чтобы отклонить некорректный токен аутентификации, сервер передаёт объект механизму поиска токенов. Пустой объект снимает ограничения поиска, и система выбирает первую запись.
Если найденный токен ещё действителен, Xen Orchestra принимает запрос за обращение его владельца. После входа злоумышленник может получить через /rest/v0/users/me/authentication_tokens идентификаторы действующих токенов для повторного доступа. Успешная атака позволяет обойти проверку учётных данных и действовать с правами владельца найденного токена.
Последствия не ограничиваются веб-панелью. По оценке Vates, захват Xen Orchestra может привести к выполнению произвольного кода в управляемых пулах и полному контролю над узлами XCP-ng с правами root. Одна ошибка в механизме входа создаёт угрозу для инфраструктуры виртуализации, в которой размещаются сразу несколько рабочих систем.
Разработчик подтвердил реальные атаки и раскрыл адрес управляющего сервера 91.211.251.112:8001, а также связанный с ним сервис в сети Tor. Для поиска следов вторжения Vates советует проверить наличие виртуальной машины pivot2, файлов /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 и /.ustar6, а также подозрительных параметров последовательного порта в журналах XCP-ng.
Исправления доступны в Xen Orchestra 6.9.1 для стабильного канала и 6.10.0 для канала latest. На уровне xo-server разработчик указывает версии 5.211.2 и 5.213.1 соответственно. В перечне затронутых сборок бюллетеня есть расхождение в номерах, поэтому при обновлении лучше ориентироваться на раздел с исправлениями и проверять установленный пакет.
В бюллетене VSA-2026-062 Vates рекомендует немедленно обновить систему, убрать Xen Orchestra из открытого интернета и вынести панель в отдельную сеть управления. До установки патча можно блокировать опасные значения cookie на обратном прокси или WAF, а также перекрыть связь с инфраструктурой атакующих. Обнаруженные следы взлома требуют отдельного расследования.
Уязвимость выявили Филип Магич и Кристоффер Олсен из TDC NET Security. Случай отличается от атак, при которых злоумышленник сначала проникает внутрь виртуальной машины и пытается выйти на хост. Здесь атакующий начинает с управляющего интерфейса, поэтому захват одной консоли может затронуть сразу несколько серверов.
