Cookie вместо пароля: Xen Orchestra взломан
В Xen Orchestra нашли критическую уязвимость, которую уже используют для обхода авторизации: достаточно подменить значение cookie, чтобы войти в панель управления виртуализацией без пароля. Vates выпустила предупреждение VSA-2026-062 10 ноября. Проблема затрагивает Xen Orchestra и Xen Orchestra Appliance — комплексы, через которые администраторы управляют виртуальными машинами и серверами XCP-ng. Уровень опасности разработчик оценил как критический, хотя номер CVE и оценка CVSS пока не присвоены.
Причина — в обработке cookie системой REST API. Значение authenticationToken=j:%7B%7D превращается в пустой JSON-объект {}, и вместо отклонения некорректного токена сервер передаёт его механизму поиска. Пустой объект снимает ограничения, система выбирает первую запись, и если найденный токен ещё действителен, запрос принимается за обращение его владельца. Дальше через /rest/v0/users/me/authentication_tokens можно получить идентификаторы действующих токенов для повторного доступа.
Последствия не ограничиваются веб-панелью: по оценке Vates, захват Xen Orchestra ведёт к выполнению произвольного кода в управляемых пулах и полному контролю над узлами XCP-ng с правами root. Разработчик подтвердил реальные атаки и раскрыл адрес управляющего сервера 91.211.251.112:8001 и связанный сервис в сети Tor. Для поиска следов вторжения советуют проверить виртуальную машину pivot2, файлы /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 и /.ustar6, а также подозрительные параметры последовательного порта в журналах XCP-ng. Исправления есть в Xen Orchestra 6.9.1 для стабильного канала и 6.10.0 для latest, на уровне xo-server — в версиях 5.211.2 и 5.213.1; в перечне затронутых сборок бюллетеня есть расхождение в номерах, поэтому при обновлении стоит сверяться с разделом исправлений и проверять установленный пакет.
Vates рекомендует немедленно обновить систему, убрать Xen Orchestra из открытого интернета и вынести панель в отдельную сеть управления. До патча можно блокировать опасные значения cookie на обратном прокси или WAF и перекрыть связь с инфраструктурой атакующих. Уязвимость выявили Филип Магич и Кристоффер Олсен из TDC NET Security. Атака начинается не с гостевой машины, а с управляющего интерфейса: одна скомпрометированная консоль открывает путь к нескольким серверам сразу.