Fransız yazılım şirketi Vates VMS, Xen Orchestra'da aktif olarak istismar edildiğini belirttiği kritik bir güvenlik açığı konusunda uyardı.
Henüz CVE tanımlayıcısı olmayan kimlik doğrulama atlama açığı VSA-2026-062 olarak izleniyor.
Vates VMS bir uyarıda "REST çerez ayrıştırma, authenticationToken=j:%7B%7D'yi {}'ye dönüştürüyor" dedi. "REST kimlik doğrulaması, bir dize gerektirmeden bu nesneyi XO jeton sağlayıcısına iletiyor."
"Jeton koleksiyonu {}'yi filtrelenmemiş bir arama olarak değerlendirip ilk jetonunu döndürüyor; sağlayıcı jetonun süresi dolmamışsa jetonun sahibi olarak kimlik doğrulaması yapıyor. Kimliği doğrulanmış /rest/v0/users/me/authentication_tokens yolu daha sonra yeniden kullanılabilir giriş jeton kimliklerini döndürüyor."
Başka bir ifadeyle açık, özel hazırlanmış bir çerez gönderilerek kimlik doğrulamanın atlanmasına ve "Admin" ayrıcalıklarıyla keyfi işlem yapılmasına olanak tanıyor; bu da yönetilen havuzlarda keyfi kod çalıştırılmasına ve XCP-ng düğümünün root olarak ele geçirilmesine yol açıyor.
Vates VMS, açığın aşağıdaki IP adresi ve TOR alanından bir tehdit aktörü tarafından aktif olarak istismar edildiğini görüyor.
91.211.251[.]112:8001, VirusTotal'da RedLine Stealer komuta ve kontrol sunucusu olarak işaretlenmiş.
Etkinliğin ne zaman başladığı ve açığın sıfırıncı gün olarak istismar edilip edilmediği net değil.
Diğer ihlal göstergeleri aşağıda listeleniyor.
authenticationToken=j:%7B%7D veya authenticationToken=j:{} içeren HTTP istekleri
Adı pivot2 olan çalışan bir sanal makine
"hvm_serial: file" parametresi kullanılarak yapılandırılmış sanal makineler
/etc/cron.d/zz-ustar2, /etc/cron.d/zz-ustar, /.ustar5 ve /.ustar6 adında şüpheli dosyalar
Sorun, kararlı ve en yeni kanallar için Xen Orchestra 6.9.1 ve 6.10.0 sürümlerinde, ayrıca xo-server sürümleri 5.211.2 ve 5.213.1'de giderildi. Hemen yama yapılamıyorsa aşağıdaki önlemler öneriliyor.
Xen Orchestra örneklerini internette açığa çıkarmaktan kaçın
Kötü niyetli etkinlikle ilişkili IP adresini ve etki alanını engelle
Boş jetonu bir web uygulama güvenlik duvarında veya ters proxy'de engelle
İhlal göstergeleri tespit edilirse Vates VMS'te tüm parolaları ve gizli bilgileri döndür
Açığın keşfedilmesi ve bildirilmesi Filip Magic (@mad31k) ile TDC NET Security'den Christoffer Olsen'e atfedildi.
