Uma falha crítica que permite contornar a autenticação no Xen Orchestra está sendo explorada ativamente. Os ataques podem conceder privilégios de administrador e permitir que invasores assumam o controle de hosts de virtualização XCP-ng.
O Xen Orchestra é uma plataforma de gerenciamento pela web desenvolvida pela empresa francesa Vates. Ela é usada para administrar ambientes de virtualização XCP-ng, incluindo máquinas virtuais, hosts e pools de recursos.
Identificada como VSA-2026-062, a falha afeta o Xen Orchestra e o Xen Orchestra Appliance (XOA). Um invasor com acesso à rede da interface de gerenciamento pode contornar a autenticação usando um cookie especialmente criado. Até o momento, a vulnerabilidade não recebeu um identificador CVE nem uma pontuação CVSS.
Segundo um comunicado de segurança da Vates, o problema está na forma como o Xen Orchestra processa cookies de autenticação enviados em solicitações à API REST.
Ao enviar um cookie criado especialmente, `authenticationToken=j:%7B%7D`, que contém um objeto JSON vazio (`{}`), o invasor pode induzir a plataforma a recuperar um token de autenticação existente e iniciar uma sessão como seu titular, sem precisar de credenciais válidas.
Depois de se autenticar, o invasor pode obter IDs de tokens de acesso reutilizáveis pelo endpoint da API REST `/rest/v0/users/me/authentication_tokens`. Esses identificadores podem ser usados para obter novos acessos.
“Um invasor pode contornar a autenticação e executar ações com privilégios de ‘Admin’. O comprometimento do Xen Orchestra pode levar à execução de código arbitrário nos pools gerenciados e à tomada completa de um nó XCP-ng, com privilégios de root”, alerta a Vates.
A empresa lançou o Xen Orchestra 6.9.1, versão estável, e o Xen Orchestra 6.10.0, versão mais recente. As atualizações incluem os pacotes xo-server 5.211.2 e 5.213.1, que corrigem a falha de segurança.
Administradores devem instalar a atualização imediatamente. Se isso não for possível, a recomendação é restringir o acesso ao Xen Orchestra a redes dedicadas de gerenciamento e bloquear endereços IP maliciosos conhecidos.
A falha foi descoberta pelos pesquisadores de segurança Filip Magic e Christoffer Olsen, da TDC NET Security.
A Vates confirmou que a vulnerabilidade está sendo explorada ativamente e divulgou os seguintes indicadores de comprometimento para ajudar administradores a identificar ataques:
- **Infraestrutura do invasor:** conexões com `91.211.251.112:8001` ou `ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333`.
- **Cookies de autenticação suspeitos:** solicitações HTTP com `authenticationToken=j:%7B%7D` ou `authenticationToken=j:{}`.
- **Máquinas virtuais:** uma máquina virtual chamada `pivot2`.
- **Configurações de máquinas virtuais alteradas:** máquinas configuradas com o parâmetro `hvm_serial: file`.
- **Arquivos incomuns:** `/etc/cron.d/zz-ustar`, `/etc/cron.d/zz-ustar2`, `/.ustar5` e `/.ustar6`.
Administradores também podem executar comandos nos hosts XCP-ng para verificar configurações incomuns de máquinas virtuais, identificar máquinas configuradas para usar um arquivo como porta serial e procurar arquivos maliciosos.
A Vates alerta, porém, que a exploração não gera identificadores nos logs, nem mesmo quando são usados cookies criados especialmente. Por isso, a detecção deve ser feita por meio do monitoramento do tráfego HTTP.
A empresa também ressalta que os indicadores divulgados estão associados apenas à campanha de ataque conhecida e podem ser diferentes em atividades de outros threat actors.
Empresas que suspeitem de comprometimento devem trocar as senhas e os segredos usados nos ambientes de virtualização.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...