Vates upozornil na aktívne zneužívanú kritickú chybu v Xen Orchestra

Chyba v Xen Orchestra označená ako VSA-2026-062 umožňuje obísť autentifikáciu a získať oprávnenia správcu. Spoločnosť Vates ju 10. novembra 2026 klasifikovala ako kritickú a uviedla, že je aktívne zneužívaná. Týka sa produktov Xen Orchestra a Xen Orchestra Appliance (XOA), ktoré slúžia na centralizovanú správu virtualizačnej infraštruktúry XCP-ng.

Podľa advisory môže útočník použiť špeciálne vytvorený REST cookie na obídenie prihlasovania. Výsledkom môže byť prístup s oprávneniami Admin v rozhraní Xen Orchestra. Vates zároveň upozorňuje, že kompromitácia tejto riadiacej konzoly môže viesť k spúšťaniu kódu v spravovaných pooloch a následnému prevzatiu uzla XCP-ng s oprávneniami root.

Chyba v Xen Orchestra: dostupné opravy

Vates v sekcii Resolution uvádza opravené vydania xo-server 5.213.1 pre kanál latest a xo-server 5.211.2 pre kanál stable. Správcom odporúča aktualizovať bez odkladu a nevystavovať Xen Orchestra priamo internetu.

Advisory však obsahuje rozpor vo verziách: časť Affected Versions spomína xo-server 5.213.2, zatiaľ čo sekcia Resolution označuje za opravu verziu 5.213.1. Pri nasadzovaní aktualizácie by sa preto správcovia mali riadiť aktuálnym postupom v oficiálnej sekcii Resolution a svojím používaným aktualizačným kanálom.

Riziko pre riadiacu vrstvu virtualizácie

Význam problému vyplýva z postavenia Xen Orchestra v infraštruktúre. Nejde iba o prístup k jednému virtuálnemu stroju, ale o centrálnu konzolu, ktorá môže spravovať pooly a hostiteľské uzly XCP-ng. Útočník s administrátorskými právami v konzole by tak podľa Vates mohol zasiahnuť aj spravované prostredie.

Najvyššiemu riziku čelia organizácie, ktoré majú rozhranie Xen Orchestra alebo XOA dostupné z internetu a používajú ho na správu produkčných XCP-ng poolov. Potvrdenie aktívneho zneužívania znamená, že samotné plánovanie budúcej údržby nemusí byť dostatočnou reakciou.

Kontrola možnej kompromitácie

Vates spolu s opravou zverejnil indikátory kompromitácie. Zahŕňajú vzory cookie, virtuálny stroj s názvom pivot2 a vybrané súbory či cron úlohy na hostiteľoch XCP-ng. Správcovia by mali tieto indikátory porovnať so svojím prostredím, najmä ak bolo rozhranie manažmentu dostupné externe.

• Aktualizovať Xen Orchestra podľa kanála latest alebo stable uvedeného v sekcii Resolution.
• Nevystavovať rozhranie Xen Orchestra priamo internetu, ako odporúča Vates.
• Preveriť systémy podľa zverejnených indikátorov kompromitácie vrátane názvu VM pivot2 a podozrivých súborov či cron úloh na XCP-ng hostiteľoch.
• Skontrolovať, či sa advisory nedočkalo opravy údajov o postihnutých verziách alebo doplnenia ďalších pokynov.

Pre VSA-2026-062 zatiaľ nie je uvedené CVE ani CVSS skóre. Označenie kritická je hodnotením výrobcu Vates. Firma aktivitu pripisuje konkrétnej útočnej infraštruktúre, no rozsah kampane, počet zasiahnutých organizácií ani nezávislé potvrdenie identity aktéra neboli zverejnené.

Ďalšie informácie môžu priniesť prípadné pridelenie CVE a CVSS, vysvetlenie rozdielnych verzií v advisory a aktualizované indikátory kompromitácie od Vates.

Overené a aktualizované: 11. 11. 2026 06:25