Lỗ hổng vượt xác thực trong Xen Orchestra đang bị khai thác, cho phép chiếm quyền root nút XCP-ng

Công ty phần mềm Pháp Vates vừa cảnh báo một lỗ hổng nghiêm trọng trong Xen Orchestra, công cụ quản trị nền tảng ảo hoá XCP-ng, đang bị khai thác thực tế. Theo The Hacker News, lỗ hổng vượt xác thực này chưa có mã CVE và được theo dõi với mã VSA-2026-062. Kẻ tấn công có thể dùng một cookie được tạo đặc biệt để thao tác với quyền Admin, từ đó thực thi mã tuỳ ý trên các pool được quản lý và chiếm toàn quyền root một nút XCP-ng.

Một cookie rỗng mở cửa quyền quản trị

Theo mô tả của Vates, phần phân tích cookie của REST API biến giá trị authenticationToken=j:%7B%7D thành một đối tượng rỗng {}. Lớp xác thực REST chuyển đối tượng đó cho bộ cung cấp token mà không kiểm tra nó có phải chuỗi hay không. Bộ sưu tập token coi {} là một truy vấn không có điều kiện lọc và trả về token đầu tiên; nếu token đó chưa hết hạn, hệ thống xác thực kẻ tấn công thành chủ của token. Sau đó, đường dẫn /rest/v0/users/me/authentication_tokens trả về các mã token đăng nhập có thể tái sử dụng.

Đây là kiểu lỗi kinh điển khi dữ liệu đầu vào không được ép đúng kiểu: một giá trị lẽ ra phải là chuỗi lại được xử lý như một đối tượng truy vấn, biến phép kiểm tra "token có khớp không" thành "lấy token bất kỳ".

Dấu hiệu bị xâm nhập và cách xử lý

Vates cho biết hoạt động khai thác đến từ địa chỉ IP 91.211.251[.]112:8001, vốn bị VirusTotal gắn cờ là máy chủ điều khiển của mã độc đánh cắp thông tin RedLine Stealer, cùng một tên miền TOR. Chưa rõ hoạt động bắt đầu từ khi nào và lỗ hổng có bị khai thác dạng zero-day hay không. Các dấu hiệu cần rà soát gồm:

• Yêu cầu HTTP chứa authenticationToken=j:%7B%7D hoặc authenticationToken=j:{}.
• Máy ảo được cấu hình với tham số "hvm_serial: file".
• Tệp đáng ngờ tên /etc/cron.d/zz-ustar2, /etc/cron.d/zz-ustar, /.ustar5 và /.ustar6.

Lỗ hổng đã được vá trong Xen Orchestra 6.9.1 và 6.10.0 (kênh stable và latest), cùng xo-server 5.211.2 và 5.213.1. Nếu chưa thể cập nhật ngay, Vates khuyến nghị chặn IP và tên miền độc hại, chặn token rỗng bằng tường lửa ứng dụng web (WAF) hoặc reverse proxy, và thay toàn bộ mật khẩu, khoá bí mật nếu phát hiện dấu hiệu xâm nhập. Lỗ hổng do Filip Magic và Christoffer Olsen thuộc TDC NET Security phát hiện và báo cáo.

Góc nhìn NTEK

XCP-ng và Xen Orchestra là lựa chọn ảo hoá mã nguồn mở được nhiều doanh nghiệp cân nhắc khi tìm phương án thay thế các nền tảng thương mại. Sự cố này nhắc lại một nguyên tắc: giao diện quản trị ảo hoá nắm quyền với toàn bộ máy ảo, nên tuyệt đối không công bố ra Internet. Hãy đặt nó trong mạng quản trị tách biệt, truy cập qua VPN hoặc máy chủ trung gian có xác thực đa yếu tố, cập nhật bản vá ngay khi hãng phát hành và giữ bản sao lưu ngoại tuyến của máy ảo quan trọng. Các đơn vị đang chạy Xen Orchestra nên kiểm tra phiên bản và rà soát các dấu hiệu trên ngay hôm nay.

Nguồn: The Hacker News