Xen Orchestraの重大な脆弱性、実際の攻撃で悪用される

ソフトウェアベンダーのVatesは、攻撃者が重大度「クリティカル」のXen Orchestraの脆弱性を悪用して認証を回避していると警告しています。

Xen Orchestraは、XCP-ngおよびXenServerの仮想化環境向けに提供されるWebベースのバックアップ、管理、災害復旧ソリューションです。エージェントレスのコントロールセンターとして、ホスト、仮想マシン（VM）、ストレージ、プールを一元的に管理します。

悪用されたのは、REST認証の仕組みに存在する脆弱性です。認証トークンが {} に変換されたうえで、フィルタリングされていない検索条件として扱われます。その結果、トークンコレクションの先頭にあるトークンが返されます。このトークンが期限切れでなければ、認証プロバイダーはそのトークンの所有者として認証を許可します。

この挙動により、再利用可能なログイントークンIDが露出する経路が生まれます。認証されていない攻撃者が認証を回避し、管理者権限を取得できる状態です。

「Xen Orchestraが侵害されると、管理対象のプール上で任意のコードが実行され、XCP-ngノードがroot権限で完全に乗っ取られる恐れがあります」と、Vatesは説明しています。

影響を受けるのは、6.9.2（安定版）より前および6.10.1（最新版）より前のXen Orchestra、ならびにXen Orchestraを含むXen Orchestra Applianceです。

Vatesは、同じ攻撃者が管理者権限を使って悪用した2件目の脆弱性も公表しました。この脆弱性では、悪意のあるVMをインポートすることでXCP-ngホストが侵害される恐れがあります。修正版は現在も開発中です。

Vatesによると、攻撃者は当初91.211.251.112:8001のほか、Torネットワーク経由でこれらの脆弱性を悪用していました。2件の脆弱性にCVE番号は割り当てられていません。

同社は、不正アクセスがログに記録されないと警告しています。一方で、確認された攻撃に関連する侵害指標（IoC）を公開しました。ただし、このIoCは今回の特定の攻撃キャンペーンに限られると注意を促しています。

「別の攻撃者が異なる戦術・技術・手順（TTP）やインフラを使って、この脆弱性を悪用している可能性も否定できません。これらのIoCが見つからないというだけでは、侵害がなかったと結論づけることはできません」とVatesは指摘します。

同社は、Xen Orchestraのインスタンスを専用ネットワークの内側に置くことを推奨しています。あわせて、既知の悪意ある活動に関連するIPアドレスとドメイン名のブロック、WAFルールによる空トークンの遮断、侵害された可能性のある認証情報すべての更新も求めています。

「侵害が確認された場合は、システムの完全な再インストールを推奨します。クリーンアップだけでは、攻撃者が残したバックドアをすべて除去できる保証がないためです」とVatesは述べています。