Xen Orchestraに認証回避の重大欠陥、すでに悪用　管理者権限を奪われXCP-ngが危うい

　Vatesは11月10日、公式アドバイザリで、仮想化基盤の管理ツール「Xen Orchestra」に、認証を回避されて管理者権限を奪われる重大な脆弱性（管理番号VSA-2026-062）があると明らかにした。すでに悪用が確認されており、同社は修正版の適用を強く求めている。

　問題は、REST APIの認証でログイン用Cookieを処理する部分にある。不正な形式の値を受け取ると、トークンの照合が条件なしの検索として扱われ、最初に見つかった有効なトークンの持ち主として認証されてしまうという。攻撃者は認証なしで管理者として操作でき、管理下のプールでの任意のコード実行や、XCP-ngノードのroot権限の奪取につながる恐れがある。

　影響を受けるのは、Xen Orchestra 6.9.2（stable）未満と6.10.1（latest）未満、およびXen Orchestra Appliance。修正はxo-server 5.213.1（latest）と5.211.2（stable）、Xen Orchestra 6.10.1と6.9.2で提供された。ソースからインストールした場合は、最新のmasterに更新する。

　深刻度は「Critical」だが、CVSS 4.0のスコアは未算定で、CVE番号は未割り当てという。

　悪用について、Vatesは攻撃者が当初、IPアドレス91.211.251.112のポート8001と、Torのonionアドレスから活動していたと説明した。ほかにも遮断すべきIPアドレスを一覧で公開している。ただし、これらの指標は今回の攻撃に限ったもので、見つからなくても侵害がなかったとは限らないとしている。

　暫定策として、Xen Orchestraをインターネットに公開せず、管理用ネットワークに隔離するよう求めた。侵害が疑われる場合は、パスワードや各種の秘密情報をすべて更新したうえで、再インストールも検討するよう呼びかけている。

　発見したのは、TDC NET SecurityのFilip Magic氏とChristoffer Olsen氏。

　Xenをめぐっては、今月初めにもXenハイパーバイザー本体の脆弱性2件が明らかになっている。悪意のある仮想マシンが他の仮想マシンのメモリを読み書きできるもので、今回の件とは別の問題だ。