Aktiv ausgenutzte Xen-Orchestra-Lücke ermöglicht Übernahme von XCP-ng-Hosts
Vates bestätigt am 10. November 2026 die aktive Ausnutzung einer kritischen Authentifizierungsumgehung in Xen Orchestra. Angreifer mit Netzwerkzugriff auf die Managementoberfläche können sich laut dem Hersteller ohne gültige Zugangsdaten anmelden, Administratorrechte erlangen und verwaltete XCP-ng-Hosts übernehmen.
Die Lücke trägt die Kennung VSA-2026-062 und betrifft Xen Orchestra sowie die Xen Orchestra Appliance. Vates zufolge verarbeitet die Plattform Authentifizierungstoken aus REST-API-Anfragen und Authentifizierungscookies fehlerhaft. Ein speziell präpariertes Cookie mit einem leeren JSON-Objekt kann dabei ein vorhandenes Authentifizierungstoken abrufen und den Angreifer als dessen Besitzer anmelden.
Nach der Anmeldung können Angreifer laut Vates über den Endpunkt /rest/v0/users/me/authentication_tokens wiederverwendbare Anmeldetoken abrufen. Der Hersteller warnt, dass ein kompromittiertes Xen Orchestra Aktionen mit Administratorrechten erlauben und zu beliebiger Codeausführung in verwalteten Pools sowie zur vollständigen Übernahme eines XCP-ng-Knotens mit Root-Rechten führen kann. Eine CVE-Nummer und ein CVSS-Wert liegen laut Vates noch nicht vor.
Vates hat Xen Orchestra 6.9.1 als stabile Version und 6.10.0 als aktuelle Version veröffentlicht. Beide Versionen enthalten nach Angaben des Herstellers korrigierte xo-server-Pakete, 5.211.2 beziehungsweise 5.213.1. Der Hersteller fordert Administratoren zur sofortigen Installation des Updates auf. Wenn das nicht möglich ist, sollen sie den Zugriff auf dedizierte Managementnetze beschränken und bekannte schädliche IP-Adressen blockieren.
Für die Suche nach der bekannten Angriffskampagne nennt Vates Verbindungen zu 91.211.251.112:8001 und zu einer .onion-Adresse, Cookies mit authenticationToken=j:%7B%7D oder authenticationToken=j:{}, eine virtuelle Maschine mit dem Namen pivot2 sowie die Dateien /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 und /.ustar6. Vates warnt, dass die Ausnutzung keine entsprechenden Kennungen in den Logs hinterlässt und deshalb über die Überwachung des HTTP-Verkehrs erkannt werden muss. Die Indikatoren gelten laut Hersteller nur für diese bekannte Kampagne.
Unternehmen, die eine Kompromittierung vermuten, sollen nach Angaben von Vates die in ihren Virtualisierungsumgebungen verwendeten Passwörter und Geheimnisse rotieren.