Vates memperingatkan bahwa celah kritis pada Xen Orchestra sedang dieksploitasi untuk melewati autentikasi dan memperoleh hak administrator. Insiden dapat berujung pada eksekusi kode di lingkungan virtualisasi yang dikelola, termasuk pengambilalihan node XCP-ng sebagai root. Celah dicatat dalam advisori VSA-2026-062 dan memengaruhi Xen Orchestra serta Xen Orchestra Appliance (XOA).
Xen Orchestra merupakan platform pengelolaan berbasis web untuk mesin virtual, host, dan pool XCP-ng. Posisi tersebut membuat akses administratif ke platform berpotensi berdampak pada banyak sistem yang dikelolanya.
Kesalahan pemrosesan token membuka akses tanpa kredensial
Masalah berasal dari validasi cookie autentikasi dalam permintaan REST API. Jenis data yang tidak semestinya dapat diteruskan ke penyedia token dan memicu pencarian tanpa penyaringan. Jika token yang ditemukan masih berlaku, sistem dapat menganggap peminta sebagai pemilik token tersebut.
Vates mengonfirmasi eksploitasi aktif dan menerbitkan indikator kompromi untuk membantu pemeriksaan. Filip Magic dan Christoffer Olsen dari TDC NET Security menemukan kerentanan ini. Saat advisori diterbitkan, nomor CVE dan skor CVSS belum tersedia.
Perbaikan tersedia pada 6.9.2 dan 6.10.1
Advisori resmi mencantumkan Xen Orchestra 6.9.2 pada kanal stable dan 6.10.1 pada kanal latest sebagai versi yang memuat perbaikan. Paket xo-server terkait adalah 5.211.2 untuk stable dan 5.213.1 untuk latest. Instalasi dari kode sumber disarankan memperbarui ke master terbaru.
Vates meminta administrator segera memasang pembaruan dan menempatkan antarmuka pengelolaan pada jaringan manajemen khusus. Pembatasan lalu lintas menuju infrastruktur penyerang yang diidentifikasi juga menjadi bagian dari mitigasi.
Periksa indikator kompromi dan kredensial
Indikator yang dipublikasikan mencakup mesin virtual bernama pivot2, konfigurasi serial VM yang tidak biasa, serta berkas atau tugas terjadwal bernama zz-ustar dan zz-ustar2. Vates mengingatkan bahwa indikator tersebut hanya mencakup kampanye yang sudah diketahui. Ketiadaannya belum cukup untuk menyimpulkan sistem bersih.
Jika kompromi terkonfirmasi, Vates merekomendasikan pemasangan ulang menyeluruh dan penggantian kata sandi serta rahasia yang digunakan lingkungan virtualisasi. Ini mencakup akun host, akses penyimpanan cadangan, dan kredensial layanan terkait, karena pencurian konfigurasi tidak dapat dikesampingkan.
Sumber: Vates – VSA-2026-062: Empty-object login token
