Atacan servidores XCP-ng por un fallo en Xen Orchestra

Vates, la empresa francesa que desarrolla Xen Orchestra, ha confirmado que una vulnerabilidad crítica de salto de autenticación en este panel web de gestión se está explotando ya en ataques reales, según informa BleepingComputer. Xen Orchestra se usa para administrar entornos de virtualización XCP-ng: máquinas virtuales, hosts y pools.

Qué pasa

El fallo, identificado como VSA-2026-062, afecta a Xen Orchestra y al Xen Orchestra Appliance (XOA). Todavía no tiene CVE ni puntuación CVSS asignados. Cualquiera con acceso de red a la interfaz de gestión puede enviar una cookie manipulada que contiene un objeto JSON vacío y la plataforma acaba recuperando un token de autenticación existente y dejándole entrar como su propietario, sin credenciales. Desde ahí puede obtener tokens de inicio de sesión reutilizables a través de la API REST.

Vates lo resume así en su aviso: «Un atacante puede saltarse la autenticación y realizar acciones con privilegios de administrador. Comprometer Xen Orchestra puede llevar a la ejecución de código arbitrario en los pools gestionados y a la toma total de un nodo XCP-ng como root».

Lo descubrieron Filip Magic y Christoffer Olsen, de TDC NET Security. La fuente no detalla qué versiones concretas son vulnerables.

Qué hay que hacer

• Actualizar ya a Xen Orchestra 6.9.1 (estable) o 6.10.0 (última), que incluyen los paquetes corregidos xo-server 5.211.2 y 5.213.1.
• Si no es posible, restringir el acceso al panel a redes de gestión dedicadas y bloquear las direcciones IP maliciosas conocidas.
• Si hay sospecha de intrusión, rotar contraseñas y secretos del entorno de virtualización.

Vates ha publicado indicadores de compromiso de la campaña conocida: conexiones a 91.211.251.112:8001 o a un servicio .onion en el puerto 3333, máquinas virtuales con el parámetro hvm_serial: file y ficheros como /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 y /.ustar6. La empresa advierte de que la explotación no deja rastro en los registros y que solo se detecta vigilando el tráfico HTTP, y de que otros atacantes pueden dejar huellas distintas.

El caso recuerda algo que debería ser norma: un panel que controla toda la infraestructura no debería estar al alcance de cualquiera en internet.

Fuente: BleepingComputer