Kritickou chybu v Xen Orchestra útočníci zneužívají k převzetí virtualizace XCP-ng

Co se stalo

Francouzská firma Vates, která vyvíjí virtualizační platformu XCP-ng a její webovou správu Xen Orchestra, zveřejnila 10. listopadu 2026 bezpečnostní upozornění VSA-2026-062 s hodnocením „kritické“. Chyba umožňuje obejít přihlášení a pracovat s právy administrátora. Podle výrobce ji aktivně zneužívá útočník, který působí z IP adresy 91.211.251[.]112 (port 8001) a přes síť Tor. Chybu objevili Filip Magic a Christoffer Olsen z TDC NET Security. Oprava (PR #10748) byla do kódu začleněna týž den.

Technické podrobnosti

Chyba je v ověřování požadavků na REST API komponenty xo-server:

• Komponenta: xo-server, autentizace REST API (cookie authenticationToken).
• Typ chyby: chybějící kontrola typu vstupu → obejití autentizace. Prázdný objekt se v databázi tokenů chová jako dotaz bez podmínky.
• Podmínky zneužití: síťový přístup k webovému rozhraní Xen Orchestra a existence aspoň jednoho neprošlého přihlašovacího tokenu (běžně vzniká přihlášením správce). Heslo útočník nepotřebuje.
• Dopad: podle Vates práva administrátora v Xen Orchestra a z nich spuštění libovolného kódu na spravovaných poolech a úplné převzetí hostitele XCP-ng jako root. Únik konfigurace a přihlašovacích údajů (záloha, S3, proxy, root) nelze vyloučit.

Oprava v PR #10748 odmítá identifikátory tokenů, které nejsou neprázdný řetězec, a dotaz do databáze skládá jen z ověřených polí. Podle popisu PR chybu zavedla dřívější změna v kódu; kdy, Vates neuvádí.

Koho se to týká

• Xen Orchestra Appliance (XOA) i Xen Orchestra ze zdrojů s xo-server starším než 5.213.1 (kanál latest) nebo 5.211.2 (kanál stable).
• Nejvíc ohrožené jsou instalace dostupné z internetu, ale útok jde provést z jakékoli sítě, odkud je rozhraní dostupné.

Upozornění jako opravené uvádí také Xen Orchestra 6.10.0 a 6.9.1. Podle changelogu ale tato vydání z 29. 10. a 5. 10. 2026 nesla xo-server 5.213.0 a 5.211.1 – spolehněte se proto na číslo verze xo-server. Oběti v Česku nebo na Slovensku výrobce neuvádí; XCP-ng se jako bezplatná náhrada VMware používá i u nás.

Jak poznat napadení

Indikátory z upozornění Vates (IP zneškodněná):

91.211.251[.]112                 infrastruktura útočníka (port 8001), dále onion adresa v Tor (port 3333)
pivot2                           název VM vytvořeného útočníkem
/etc/ld.so.preload               podezřelý soubor na hostiteli XCP-ng
/.ustar5  /.ustar6               soubory útočníka v kořeni hostitele
/etc/cron.d/zz-ustar  /etc/cron.d/zz-ustar2   cron úlohy útočníka

Kontroly, které Vates doporučuje na hostitelích XCP-ng:

xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'
zgrep -- '-serial file:' /var/log/xensource.log*
ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*

V síťovém provozu k Xen Orchestra (tcpdump, Wireshark, logy reverzní proxy) hledejte cookie authenticationToken s hodnotou j:{} nebo j:%7B%7D. Úspěšné zneužití v logu Xen Orchestra nezanechá záznam o neověřeném přístupu. Vates zdůrazňuje, že chybějící indikátory nedokazují, že k napadení nedošlo – jiní útočníci mohou postupovat jinak. Indikátory z logů vytáhne náš IOC extraktor, který běží jen ve vašem prohlížeči.

Co udělat

1. Aktualizujte Xen Orchestra na xo-server 5.213.1 (latest) nebo 5.211.2 (stable) – v XOA přes aktualizace na příslušném kanálu, u instalace ze zdrojů z aktuální větve master.
2. Odpojte rozhraní z internetu. Xen Orchestra patří do vyhrazené správní sítě, dostupná nejlépe jen přes VPN.
3. Zablokujte příchozí i odchozí provoz s 91.211.251[.]112 a provoz do sítě Tor.
4. Do aktualizace blokujte na WAF nebo reverzní proxy požadavky s cookie authenticationToken=j:{} / j:%7B%7D. Vates upozorňuje, že regulární výrazy lze obejít jiným zápisem – je to jen dočasná pojistka.
5. Po aktualizaci zneplatněte existující přihlašovací tokeny a projděte hostitele podle indikátorů.
6. Při podezření vyměňte všechna hesla a tajné údaje Vates VMS – proxy, zálohy, S3, root hostitelů i uživatelské účty – a hlaste incident NÚKIB (na Slovensku SK-CERT).

Časová osa