Xen Orchestra の認証バイパス脆弱性、悪用を確認

攻撃者が、仮想化管理プラットフォーム「Xen Orchestra」の重大な脆弱性を積極的に悪用しています。この認証バイパスの脆弱性を突かれると、攻撃者はパスワードなしで仮想化コンソールに侵入できます。手口は単純で、ブラウザのCookie値を操作するだけで、稼働中の管理者セッションを乗っ取れます。その結果、不正な侵入者はごく短時間でエンタープライズ環境のサーバークラスター全体を掌握しかねません。Vatesは11月10日、セキュリティアドバイザリ「VSA-2026-062」でこの重大な欠陥を公表しました。CVE識別子とCVSSスコアはまだ付与されていませんが、ベンダーは最高の深刻度に分類しています。

空のJSON形式Cookieによる REST API の欠陥

問題の根本は、プラットフォームのREST APIが認証用Cookieを解析する処理にあります。細工したCookie値「authenticationToken=j:%7B%7D」を送信すると、空のJSONオブジェクトとして解釈されます。サーバーは不正な認証情報を拒否せず、この空のオブジェクトをそのままトークン検索処理に渡します。空のクエリでは検索フィルターがすべて外れるため、データベースは最初に見つかったレコードを返します。取得したセッションが有効であれば、Xen Orchestraは侵入者をその正規ユーザーとして認証してしまいます。その後、攻撃者は /rest/v0/users/me/authentication_tokens エンドポイントに問い合わせ、有効なトークンを入手して恒久的なアクセスを確保します。

ハイパーバイザーホストの侵害と侵入の痕跡

深刻なのは、影響がWeb管理インターフェースにとどまらない点です。Vatesのセキュリティアドバイザリ「VSA-2026-062」によると、コンソールが侵害されると、管理下のプール全体で任意のコードを実行できます。さらに侵入者は、基盤となるXCP-ngハイパーバイザーノードのroot権限を完全に掌握できます。従来の仮想マシン脱出攻撃とは異なり、中央のコンソールを押さえられると、複数の本番ワークロードが同時に危険にさらされます。この重大な設計上の欠陥を発見したのは、TDC NET Securityの研究者Filip Magic氏とKristoffer Olsen氏です。

Vatesは実際に悪用されていることを確認し、コマンドサーバー91.211.251.112:8001に関連する侵害指標（IoC）を公開しました。調査では、Torネットワーク上で動作する関連の隠しサービスも特定されています。侵害の有無を調べるには、ホスト上に「pivot2」という名前の不審な仮想マシンがないか確認してください。あわせて、/etc/cron.d/zz-ustar、/etc/cron.d/zz-ustar2、/.ustar5、/.ustar6に悪意のあるファイルがないかも点検する必要があります。最後に、XCP-ngのシステムログに不審なシリアルポート設定が記録されていないか、セキュリティチームで監査してください。

早急なパッチ適用と管理ネットワークの分離

この脅威に対処するため、管理者は直ちにXen Orchestra 6.9.1または6.10.0へアップグレードする必要があります。これらのリリースは、安定版チャネルではxo-serverパッケージ5.211.2、最新版ビルドでは5.213.1に相当します。アドバイザリにはバージョン表記にわずかな食い違いがあるため、運用担当者はインストール済みのパッケージ番号を慎重に確認してください。またVatesは、Xen Orchestraのインターフェースをインターネットに公開しないよう強く求めています。管理パネルは専用の管理ネットワーク内に隔離し、リバースプロキシで不正な形式のCookieを遮断することが望まれます。早期のパッチ適用と厳格なネットワーク分離が、仮想化基盤をホスト全体の乗っ取りから守ります。