Xen Orchestra'daki kimlik doğrulama atlatma açığı saldırılarda kullanılıyor

Xen Orchestra’yı ve XCP-ng’yi geliştiren Vates, 10 Kasım’da yayımladığı VSA-2026-062 numaralı danışma notunda Xen Orchestra’daki bir kimlik doğrulama atlatma açığını duyurdu ve düzeltmeyi yayımladı. Xen Orchestra, Xen tabanlı sanallaştırma platformu XCP-ng’nin web tabanlı yönetim aracı. Vates açığı kritik olarak sınıflandırıyor ve açığın bir tehdit aktörü tarafından saldırılarda kullanıldığını belirtiyor. Açığa henüz bir CVE numarası ve CVSS 4.0 puanı verilmedi.

Açık

Vates’e göre Xen Orchestra’nın REST API’sindeki çerez ayrıştırma işlemi authenticationToken=j:%7B%7D değerini boş bir nesneye dönüştürüyor. REST kimlik doğrulaması bu nesneyi, bir metin olmasını şart koşmadan Xen Orchestra’nın token sağlayıcısına iletiyor. Token koleksiyonu boş nesneyi filtresiz bir sorgu olarak işliyor ve ilk token’ı döndürüyor. Sağlayıcı da bu token’ın süresi dolmamışsa isteği token’ın sahibi olarak doğruluyor. Ardından kimlik doğrulaması gerektiren /rest/v0/users/me/authentication_tokens yolu, yeniden kullanılabilir giriş token kimliklerini döndürüyor.

Vates’e göre saldırgan bu yolla kimlik doğrulamasını atlatıp yönetici (Admin) yetkisiyle işlem yapabiliyor. Xen Orchestra’nın ele geçirilmesi, yönetilen havuzlarda keyfi kod çalıştırmaya ve XCP-ng sunucusunun root olarak tamamen ele geçirilmesine yol açabiliyor. Açığı TDC NET Security’den Filip Magic ve Christoffer Olsen buldu.

Etkilenen ve düzeltilmiş sürümler

Vates’e göre stable kanalında 6.9.2 öncesi ve latest kanalında 6.10.1 öncesi Xen Orchestra sürümleri ile Xen Orchestra Appliance (XOA) etkileniyor. Düzeltme 10 Kasım itibarıyla iki kanalda da yayımlandı. Düzeltmeyi içeren paketler latest kanalı için xo-server 5.213.1, stable kanalı için xo-server 5.211.2. Xen Orchestra’yı kaynak koddan kuranların en son master dalına güncellemesi gerekiyor.

Saldırı izleri

Vates’e göre saldırgan ilk olarak 91.211.251[.]112:8001 adresinden ve Tor üzerinden ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid[.]onion:3333 adresinden çalıştı. Vates, verdiği tespit yöntemlerinin yalnızca şimdiye kadar görülen saldırının izlerine dayandığını, açığın başka tehdit aktörlerince farklı yöntemlerle kullanılmasının dışlanamayacağını ve bu izlerin bulunmamasının tek başına sistemin ele geçirilmediğini göstermediğini vurguluyor.

Vates’e göre başarılı bir istismarda kimlik doğrulaması olmadan yapılan erişim kayıtlarda iz bırakmıyor. İstismar, HTTP istekleri tcpdump ya da Wireshark ile izlenerek authenticationToken=j:%7B%7D ve authenticationToken=j:{} kalıplarıyla tespit edilebiliyor. Vates ayrıca şu kontrolleri öneriyor:

• Çalışan sanal makineler arasında pivot2 adlı bir sanal makine olup olmadığına bakın.
• XCP-ng sunucularında hvm_serial: file parametresiyle çalışan sanal makineleri arayın:

xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'
zgrep -- '-serial file:' /var/log/xensource.log*

• XCP-ng sunucularında /etc/cron.d/zz-ustar2, /etc/cron.d/zz-ustar, /.ustar5 ve /.ustar6 dosyalarını arayın. Vates’in verdiği komut /etc/ld.so.preload dosyasını da kontrol ediyor:

ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*

Vates’in engellenmesini önerdiği IP adresleri şunlar: 91.211.251[.]112, 193.148.56[.]72, 37.221.208[.]216, 45.66.35[.]11, 64.65.0[.]120, 64.65.62[.]160, 89.47.51[.]90 ve 92.60.37[.]247.

Saldırganın kullandığı ikinci yol

Vates aynı gün VSA-2026-063 numaralı ikinci bir danışma notu yayımladı. Vates’e göre Xen Orchestra, XAPI’ye pool-admin yetkisiyle istek gönderiyor ve içe aktarılan veri akışını ova.xml dosyasını okumadan ya da değiştirmeden XAPI’ye iletiyor. JSON-RPC’de vm.import, REST API’de sr/import:vm, network/action:create ya da network/action:update yetkisi olan yetkisiz bir kullanıcı, XSA-489 ve XSA-530’da gösterildiği gibi VBD.other_config:backend-local, VM.other-config:is_system_domain ve VM.platform:hvm_serial anahtarları özel olarak hazırlanmış bir XVA dosyasını içe aktararak XCP-ng sunucusunu ele geçirebiliyor.

Vates’e göre aynı tehdit aktörü bu yolu, VSA-2026-062 ile elde ettiği yönetici yetkisiyle kullandı. Açık 6.10.1 ve önceki sürümleri etkiliyor. Vates açığı önemli (Important) olarak sınıflandırıyor ve düzeltme üzerinde çalıştığını açıkladı. Vates, günlükleri ve adli inceleme raporlarını paylaşan Matthias Fetzer’e teşekkür ediyor.

Önerilen önlemler

Vates, Xen Orchestra’nın en kısa sürede güncellenmesini ve şu önlemleri öneriyor:

• Xen Orchestra’yı internete açmayın ve ayrı bir yönetim ağına yerleştirin.
• Yukarıdaki IP adreslerine giden ve bunlardan gelen trafiği engelleyin. Onion adresiyle iletişimi önlemek için Tor trafiğini engelleyin.
• Bir WAF ya da ters vekil sunucuda boş token kalıplarını engelleyen bir kural ekleyin. Vates’e göre kural başka biçimlerle atlatılabileceği için düzenli ifadeler dikkatli yazılmalı.
• Xen Orchestra ele geçirildiyse proxy, NFS, S3, Azure ve SMB yedekleme hedefleri, root hesabı ve havuz sırrı (pool secret), kullanıcı hesapları, OTP sırları ve e-posta sunucusu yapılandırması dahil Vates VMS’te kullanılan bütün parola ve gizli bilgileri değiştirin. Vates’e göre yapılandırmanın dışarı sızdırılması ve kimlik bilgilerinin toplanması dışlanamıyor.
• Ele geçirme doğrulanırsa sistemi baştan kurun. Vates’e göre temizlik, saldırganın bıraktığı bütün arka kapıların kaldırıldığını garanti etmiyor.
• VSA-2026-063 için düzeltme çıkana kadar sanal makine içe aktarmayı yalnızca yönetici kullanıcılara bırakın ve vm.import, sr/import:vm, network/action:create ya da network/action:update yetkisi verilmiş kullanıcıları devre dışı bırakın.