Vates מזהירה שפגיעות עקיפת אימות ב-Xen Orchestra (מזהה VSA-2026-062) מנוצלת בפועל על ידי תוקף ומאפשרת גישת מנהל. מי שמריץ את ממשק הניהול של XCP-ng צריך לעדכן מיד.
| מזהה | VSA-2026-062 — עדיין ללא CVE |
| מוצר | Xen Orchestra — הגרסאות הפגיעות לא פורסמו במקור שנבדק |
| חומרה (CVSS) | לא פורסם |
| מנוצל בפועל | כן, לפי Vates |
| תיקון | Xen Orchestra 6.9.1 (ערוץ יציב), 6.10.0 (ערוץ latest); xo-server 5.211.2 ו-5.213.1 |
מה קרה
לפי הדיווח, פענוח עוגיית ה-REST הופך ערך ריק לאובייקט ריק, ורכיב האימות מאמת את הבקשה כבעלים של הטוקן הלא-פג-תוקף הראשון שהוא מוצא. התוצאה: פעולה בהרשאות מנהל, שעלולה להוביל להרצת קוד על מאגרי השרתים המנוהלים ולשליטה מלאה כ-root בצמתי XCP-ng.
המקור לא מציין מתי החלה הפעילות. הפגיעות דווחה על ידי Filip Magic ו-Christoffer Olsen מ-TDC NET Security.
נקודות לשים לב
- עדכן ל-6.9.1 או ל-6.10.0 בהתאם לערוץ שלך.
- אל תחשוף את Xen Orchestra לאינטרנט. אם אי אפשר לעדכן מיד, חסום ב-WAF או ב-reverse proxy בקשות עם הדפוס
authenticationToken=j:%7B%7D. - חפש סימני פריצה: בקשות עם הדפוס הנ"ל, מכונה וירטואלית בשם
pivot2, מכונות עם הפרמטרhvm_serial: file, והקבצים/etc/cron.d/zz-ustar2,/etc/cron.d/zz-ustar,/.ustar5ו-/.ustar6. - Vates מפרסמת גם כתובת שרת וכתובת onion של התוקף לחסימה — קח אותן מהייעוץ הרשמי.
- נמצאו סימנים? החלף את כל הסיסמאות והסודות בסביבה, לא רק של Xen Orchestra.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
