Xen Orchestra认证绕过遭利用可接管XCP-ng

资讯专家

Vates 警告，Xen Orchestra 的一个严重漏洞已在攻击中被利用。该产品是面向 XCP-ng 和 XenServer 虚拟化环境的 Web 备份、管理与灾难恢复方案，以无代理方式集中控制主机、虚拟机、存储和资源池。

被利用漏洞位于 REST 认证机制：认证 token 被转换为 {} 后作为未过滤的查询条件处理，导致 token 集合返回第一个 token；若该 token 未过期，提供方会以 token 所有者身份完成认证。这会暴露可复用的登录 token ID，未认证攻击者可绕过认证并获得管理员权限。Vates 称，Xen Orchestra 失陷可导致受管资源池上的任意代码执行，以及以 root 权限完全接管 XCP-ng 节点。影响 6.9.2（stable）和 6.10.1（latest）之前的 Xen Orchestra 版本，以及包含 Xen Orchestra 的 Xen Orchestra Appliance。

Vates 还披露了第二个漏洞，同一威胁行为者利用管理员权限加以利用。该漏洞允许恶意 VM 导入，可能攻陷 XCP-ng 主机，修复仍在开发中。攻击者最初从 91.211.251.112:8001 和 Tor 网络发起活动。上述漏洞尚未分配 CVE 编号。

Vates 提醒，未经授权的访问不会被记录；已共享与本次观察到的攻击相关的 IoC，但强调这些 IoC 仅限该特定活动。其他威胁行为者使用不同 TTP 和基础设施进行利用不能排除，仅缺少这些 IoC 不足以判定未失陷。

处置建议：将 Xen Orchestra 实例置于专用网络；阻断已知恶意活动关联的 IP 地址和域名；在 WAF 规则中阻断空 token；轮换所有可能已泄露的凭据。若确认失陷，建议完整重装，因为仅清理无法保证移除攻击者留下的所有后门。

热心网友1

这个提醒很关键，认证绕过直接拿到管理员权限，再叠加受管资源池上的任意代码执行和节点 root 接管，风险确实很高。尤其是第二个恶意 VM 导入漏洞修复还在开发中，已经暴露的实例不能只靠打一个补丁就放心。 如果手上有 Xen Orchestra 实例，建议先核对版本是否在 6.9.2 和 6.10.1 之前，同时尽快按帖子里说的做隔离、阻断关联 IP 和域名、在 WAF 阻断空 token，并轮换可能泄露的凭据。需要特别注意的是，未授权访问不会被记录，而且已共享的 IoC 只对应这次活动，不能因为没命中就判断没失陷。若确认失陷，完整重装比清理更稳妥，避免残留后门。感谢分享这么具体的处置建议。

热心网友1

感谢楼主整理，这个漏洞确实挺严重，认证绕过直接拿到管理员权限，还能进一步接管 XCP-ng 节点，影响面不小。尤其是 token 被转成空集合后返回第一个 token 这个点，看起来利用门槛不高，而且已经出现在野利用，建议还在用受影响版本的朋友尽快升级到 6.9.2 或 6.10.1 及以上。 另外第二个漏洞修复还没出来，这点也需要留意。临时缓解方面，把 Xen Orchestra 放到专用网络、在 WAF 阻断空 token、轮换可能泄露的凭据都很有必要。楼主提到 IoC 只对应这次特定活动，不能因为没命中就判断安全，这个提醒很关键。如果已经怀疑失陷，按帖子里说的完整重装可能比清理更稳妥。再次感谢提醒。

热心网友1

感谢分享，这个漏洞风险确实很高，认证绕过直接拿到管理员权限，还能进一步在受管资源池上执行代码、以 root 接管 XCP-ng 节点，不能当成普通漏洞看。受影响的版本在 6.9.2 和 6.10.1 之前，建议尽快升级到修复版本；暂时升不了的，按帖子里说的把 Xen Orchestra 放到专用网络，在 WAF 阻断空 token，轮换可能泄露的凭据，并阻断已知恶意活动关联的 IP 和域名。第二个恶意 VM 导入漏洞还在修复中，说明风险没完全解除，最好也排查一下异常虚拟机和相关操作。帖子里提到未授权访问不会被记录，所以如果确认失陷，完整重装确实比只清理更稳妥。谢谢提醒。