Falha crítica de bypass de autenticação no Xen Orchestra é explorada para sequestrar servidores de VMs

A falha, catalogada pela Vates como VSA-2026-062, afeta o Xen Orchestra e o Xen Orchestra Appliance (XOA). Ainda não há CVE nem pontuação CVSS atribuídos. O problema está em como a plataforma processa o token de autenticação enviado nas requisições da API REST. Um cookie forjado (authenticationToken=j:%7B%7D), com um objeto JSON vazio, faz o sistema recuperar um token existente e logar o atacante como dono dele, sem credenciais.

Com a sessão em mãos, o invasor consulta o endpoint /rest/v0/users/me/authentication_tokens e obtém IDs de token reutilizáveis, que garantem acesso posterior. A Vates diz que isso dá privilégio de Admin, pode levar à execução de código arbitrário nos pools gerenciados e ao controle total do nó XCP-ng como root. A exploração ativa foi confirmada pela empresa. As correções saíram nas versões 6.9.1 (estável) e 6.10.0 (latest), com xo-server 5.211.2 e 5.213.1. Quem não puder atualizar já deve restringir o acesso a redes de gerenciamento dedicadas e bloquear IPs maliciosos conhecidos.

Um detalhe operacional pesa na detecção: a exploração não gera identificadores nos logs da aplicação, como o uso do cookie forjado. Só o monitoramento de HTTP pega isso. Os indicadores divulgados incluem conexões a 91.211.251.112:8001 e a um endereço .onion na porta 3333, uma VM chamada pivot2, VMs com o parâmetro hvm_serial: file e arquivos como /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 e /.ustar6. A Vates avisa que esses IOCs valem para esta campanha e podem mudar com outros atores. Quem suspeita de comprometimento deve rotacionar senhas e segredos do ambiente de virtualização. Os descobridores são Filip Magic e Christoffer Olsen, da TDC NET Security.

Para quem opera virtualização, o console de gerenciamento é um alvo de altíssimo valor: quem entra nele alcança hosts e VMs de uma vez. Na leitura do CEVIU, o padrão se repete em outros produtos de administração com bypass de autenticação explorado em ataques, e a defesa passa por tirar o painel da internet pública e vigiar o tráfego HTTP, já que os logs não ajudam aqui.