Xen Orchestraに存在する重大な認証バイパスの脆弱性が、実際の攻撃で悪用されています。この脆弱性を突かれると管理者権限を奪われ、XCP-ng仮想化ホストを乗っ取られるおそれがあります。
Xen Orchestraは、フランスのソフトウェア企業Vatesが開発したWebベースの管理プラットフォームです。仮想マシン、ホスト、プールなど、XCP-ng仮想化環境の管理に使われています。
この脆弱性は「VSA-2026-062」として追跡されており、Xen OrchestraおよびXen Orchestra Appliance（XOA）が影響を受けます。管理インターフェースにネットワーク経由でアクセスできるリモートの攻撃者は、細工したCookieを使って認証を回避できます。CVE識別子とCVSSスコアは、まだ割り当てられていません。
Vatesのセキュリティアドバイザリによると、原因はXen OrchestraがREST APIリクエストで送信される認証トークンを処理する方法にあります。
具体的には、Xen Orchestraが認証Cookieを処理する際の問題が原因です。
攻撃者は、空のJSONオブジェクト（{}）を含む細工したCookie（authenticationToken=j:%7B%7D）を送信します。するとプラットフォームをだまして既存の認証トークンを取得させ、そのトークンの所有者としてログインできます。実際の認証情報は必要ありません。
認証を突破した攻撃者は、REST APIエンドポイント/rest/v0/users/me/authentication_tokens から「再利用可能なログイントークンID」を取得できます。このIDは、さらなるアクセスに悪用されるおそれがあります。
Vatesは次のように警告しています。「攻撃者は認証を回避し、『Admin』権限で操作を実行できます。Xen Orchestraが侵害されると、管理下のプールで任意のコードが実行され、XCP-ngノード全体をrootとして乗っ取られる可能性があります」
同社は、これらの脆弱性を修正するため、Xen Orchestra 6.9.1（stable）と6.10.0（latest）を公開しました。パッチ適用済みのxo-serverパッケージは、5.211.2と5.213.1です。
管理者はただちにアップデートを適用してください。すぐに適用できない場合は、Xen Orchestraへのアクセスを専用の管理ネットワークに限定し、既知の悪意あるIPアドレスをブロックする必要があります。
この脆弱性を発見したのは、TDC NET Securityのセキュリティ研究者Filip Magic氏とChristoffer Olsen氏です。
実際の攻撃で悪用
Vatesは、この脆弱性が実際に悪用されていることを確認しました。管理者が攻撃を特定できるよう、次の侵害指標（IOC）も公開しています。
-
攻撃者のインフラ：
91.211.251.112:8001またはustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333への接続。 -
不審な認証Cookie：
authenticationToken=j:%7B%7DまたはauthenticationToken=j:{}を含むHTTPリクエスト。 -
仮想マシン：
pivot2という名前のVM。 -
改ざんされたVM構成：
hvm_serial: fileパラメータが設定された仮想マシン。 -
不審なファイル：
/etc/cron.d/zz-ustar、/etc/cron.d/zz-ustar2、/.ustar5、/.ustar6。
管理者はXCP-ngホスト上で次のコマンドを実行すれば、不審なVM構成、シリアルポートにファイルを使うよう設定された仮想マシン、悪意のあるファイルを確認できます。
xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'
zgrep -- '-serial file:' /var/log/xensource.log*
ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*ただしVatesは、細工したCookieの使用など、この脆弱性の悪用はログに識別子を一切残さないと警告しています。検知するには、HTTPの監視が必要です。
同社によると、これらのIOCは今回確認された攻撃キャンペーンにのみ関連するものです。他の攻撃者が使う指標は異なる可能性があります。
侵害された可能性がある企業は、仮想化環境で使用しているパスワードとシークレットをローテーションしてください。
