Explotan un bypass de autenticación crítico de Xen Orchestra para tomar el control de hosts virtualizados

El 10 de noviembre de 2026, Vates confirmó la explotación activa de una vulnerabilidad crítica de bypass de autenticación en Xen Orchestra y Xen Orchestra Appliance (XOA). El fallo, identificado como VSA-2026-062, afecta a la interfaz de gestión y permite a atacantes con acceso de red eludir la autenticación mediante una cookie especialmente manipulada.

La vulnerabilidad se debe al procesamiento de tokens de autenticación en las solicitudes de la API REST. El envío de la cookie authenticationToken=j:%7B%7D, que contiene un objeto JSON vacío, puede hacer que la plataforma recupere un token existente e inicie sesión con los privilegios de su propietario. Tras autenticarse, el atacante puede obtener identificadores de tokens reutilizables a través del endpoint /rest/v0/users/me/authentication_tokens.

Vates advierte de que el acceso puede proporcionar privilegios de administrador, ejecución de código arbitrario en pools gestionados y la toma completa de nodos XCP-ng con privilegios de root. La compañía ha publicado Xen Orchestra 6.9.1, Xen Orchestra 6.10.0 y los paquetes corregidos xo-server 5.211.2 y 5.213.1.

Entre los indicadores asociados a la campaña figuran conexiones con 91.211.251.112:8001 o con el servicio onion indicado por Vates, cookies de autenticación manipuladas, una máquina virtual llamada pivot2, configuraciones con el parámetro hvm_serial: file y los archivos /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 y /.ustar6. Vates señala que estos indicios no aparecerán necesariamente en los registros y recomienda revisar el tráfico HTTP.

Los administradores deben instalar las versiones corregidas, restringir el acceso a Xen Orchestra a redes de gestión dedicadas cuando no sea posible actualizar y rotar las contraseñas y secretos de los entornos de virtualización si existe sospecha de compromiso. La vulnerabilidad fue descubierta por Filip Magic y Christoffer Olsen, de TDC NET Security.

Fuente: BleepingComputer.