攻撃者が、XCP-ngプールの管理基盤であるXen Orchestraの認証バイパスの重大な脆弱性を積極的に悪用しています。管理者権限を奪取したうえで、ハイパーバイザーノードのroot権限まで掌握する手口です。
Vatesはこの脆弱性を「VSA-2026-062」（「Empty-object login token」）として追跡しており、2026年11月10日に公表しました。影響を受けるのは、Xen OrchestraおよびXen Orchestra Applianceのうち、6.9.2（stable）および6.10.1（latest）より前のビルドです。Vatesは深刻度を「Critical」と評価していますが、CVSS 4.0のスコアはまだ公表されていません。
認証レイヤーは、このオブジェクトを文字列かどうかを検証しないまま、XOのトークンプロバイダーに渡します。トークンコレクションは{}をフィルタなしの検索として扱い、保存されている最初のトークンを返します。
このトークンが失効していなければ、プロバイダーは呼び出し元をトークンの所有者として認証します。続いて攻撃者は、認証が必要な/rest/v0/users/me/authentication_tokensルートを呼び出し、再利用可能なログイントークンIDを取得します。その結果、認証情報なしで永続的な管理者セッションを確立できます。
Vatesによると、最初に確認された攻撃活動は91.211.251.112:8001と、ポート3333のTor隠しサービスustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onionから行われていました。
Xen Orchestraの管理者権限を握られると、管理下のプール上で任意のコードを実行され、XCP-ngノードのroot権限まで奪われます。これは、認可バイパスからroot権限での実行に至ったBarracuda Email Security Gatewayで確認された認証前の権限悪用とよく似ています。
攻撃が成功しても、認証なしのアクセスはログに一切残りません。そのため防御側は、tcpdumpやWiresharkでトラフィックを調べ、authenticationToken=j:%7B%7DやauthenticationToken=j:{}が含まれていないか確認する必要があります。
Xen Orchestraでは、pivot2という名前の不審なVMがないかを確認してください。XCP-ngホストでは、xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'とzgrep -- '-serial file:' /var/log/xensource.log*を実行します。
あわせて、/etc/ld.so.preload、/.ustar*、/etc/cron.d/zz-ustar、/etc/cron.d/zz-ustar2も確認してください。ld.so.preloadとcronに関連する痕跡は、ユーザーランドのルートキットの読み込みと、cronによる永続化を示唆しています。
Vatesは、これらの確認項目が対象とするのは今回の攻撃キャンペーンのみであり、痕跡が見つからなくてもホストが安全だという証明にはならないと警告しています。運用者は、以下のC2アドレスとの間の受信・送信トラフィックをブロックし、Torへの送信トラフィックもブロックすべきです。
91.211.251.112、193.148.56.72、37.221.208.216、45.66.35.11、64.65.0.120、64.65.62.160、89.47.51.90、92.60.37.247
こうした攻撃は、攻撃者がコマンド＆コントロール（C2）インフラを入れ替えるという、より広範な傾向とも一致します。静的なブロックリストだけでは対策として不十分です。
Vatesは、latestチャネルのxo-server 5.213.1とstableチャネルの5.211.2でこの脆弱性を修正しました。ソースからインストールしている場合は、最新のmasterに更新してください。Xen Orchestraをインターネットに公開してはならず、専用の管理ネットワークに配置する必要があります。
侵害が確認された場合、Vatesはプラットフォームが保持するすべてのシークレットをローテーションするよう推奨しています。対象には、プロキシの認証情報、NFS・S3・Azure・SMBの各バックアップリモート、rootアカウント、プールシークレット、ユーザーアカウント、OTPシークレット、メールサーバーのパスワードが含まれます。
Vatesはさらに、クリーンアップではバックドアがすべて除去されたと保証できないため、完全な再インストールも推奨しています。保存されたシークレットが漏えいするリスクは、FortigateSnifferのような認証情報収集ツールによるリスクと共通しています。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/critical-xen-orchestra-authentication-bypass/
