یک آسیب‌پذیری بحرانی از نوع دور زدن احراز هویت (Authentication Bypass) در پلتفرم Xen Orchestra شناسایی شده است که در حال حاضر در حملات واقعی مورد بهره‌برداری قرار می‌گیرد. این نقص امنیتی به مهاجمان اجازه می‌دهد تا دسترسی‌های مدیر (Administrator) را به دست آورده و در نهایت کنترل کامل میزبان‌های مجازی‌سازی XCP-ng را تصاحب کنند.
جزئیات فنی آسیب‌پذیری
این آسیب‌پذیری که با شناسه VSA-2026-062 ردیابی می‌شود، هر دو نسخه Xen Orchestra و Xen Orchestra Appliance (XOA) را تحت تأثیر قرار می‌دهد. ریشه این مشکل در نحوه پردازش توکن‌های احراز هویت در درخواست‌های REST API نهفته است.
مهاجمان با ارسال یک کوکی دست‌کاری شده (به صورت authenticationToken=j:%7B%7D) که حاوی یک شیء JSON خالی است، می‌توانند پلتفرم را فریب دهند تا یک توکن احراز هویت موجود را بازیابی کرده و آن‌ها را بدون نیاز به نام کاربری و رمز عبور، به عنوان مالک آن توکن وارد سیستم کند.
پیامدهای امنیتی و سطح دسترسی
پس از احراز هویت غیرمجاز، مهاجمان می‌توانند از طریق نقطه اتصال (Endpoint) مربوط به /rest/v0/users/me/authentication_tokens، شناسه‌های توکن‌های ورود قابل استفاده مجدد را استخراج کنند. این تحلیل تأکید دارد که نفوذ به Xen Orchestra می‌تواند منجر به اجرای کد دلخواه (Arbitrary Code Execution) در Poolهای مدیریت شده و در نهایت تصاحب کامل گره‌های XCP-ng با دسترسی root شود.
راهکارهای مقابله و اصلاح
برای رفع این مشکل، نسخه‌های 6.9.1 (پایدار) و 6.10.0 (آخرین نسخه) منتشر شده‌اند که شامل بسته‌های اصلاح شده xo-server در نسخه‌های 5.211.2 و 5.213.1 هستند. مدیران سیستم‌ها باید فوراً این به‌روزرسانی‌ها را اعمال کنند. در صورتی که به‌روزرسانی سریع امکان‌پذیر نباشد، توصیه‌های زیر پیشنهاد می‌شود:
- محدود کردن دسترسی به Xen Orchestra تنها به شبکه‌های مدیریتی اختصاصی.
- مسدود کردن آدرس‌های IP مشکوک و شناخته شده.
- چرخش (Rotate) تمامی رمز عبورها و Secretهای مورد استفاده در محیط‌های مجازی‌سازی در صورت احتمال نفوذ.
شاخص‌های شناسایی (IOCs)
با توجه به اینکه بهره‌برداری از این نقص در لاگ‌های استاندارد شناسه‌های مشخصی ایجاد نمی‌کند و شناسایی آن مستلزم مانیتورینگ ترافیک HTTP است، موارد زیر به عنوان شاخص‌های حمله معرفی شده‌اند:
- زیرساخت مهاجم: اتصالات به
91.211.251.112:8001یا آدرس Onion مربوط بهustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid:3333. - کوکی‌های مشکوک: درخواست‌های HTTP حاوی
authenticationToken=j:%7B%7DیاauthenticationToken=j:{}. - تغییرات در VM: پیکربندی ماشین‌های مجازی با پارامتر
hvm_serial: file. - فایل‌های غیرعادی: وجود فایل‌هایی نظیر
/etc/cron.d/zz-ustar،/etc/cron.d/zz-ustar2،/.ustar5و/.ustar6.
