Xen Orchestra’da Kritik Kimlik Doğrulama Atlatma Güvenlik Açığı Aktif Olarak İstismar Ediliyor

Xen Orchestra’da Kritik Kimlik Doğrulama Atlatma Güvenlik Açığı Aktif Olarak İstismar Ediliyor

Fransız yazılım şirketi Vates VMS, Xen Orchestra’da aktif olarak istismar edildiğini belirttiği kritik bir güvenlik açığı hakkında uyarıda bulundu. Henüz bir CVE tanımlayıcısına sahip olmayan bu kimlik doğrulama atlatma güvenlik açığı, VSA-2026-062 olarak takip ediliyor.

Güvenlik Açığının Detayları

Vates VMS tarafından yapılan açıklamada, “REST çerez ayrıştırması authenticationToken=j:%7B%7D ifadesini {} olarak dönüştürüyor. REST kimlik doğrulaması bu nesneyi bir dize gerektirmeden XO belirteç sağlayıcısına iletiyor.” denildi.

Şirket, “Belirteç koleksiyonu {} ifadesini filtrelenmemiş bir arama olarak ele alıyor ve ilk belirtecini döndürüyor. Sağlayıcı, süresi dolmamışsa o belirtecin sahibinin kimliğini doğruluyor. Kimliği doğrulanmış /rest/v0/users/me/authentication_tokens rotası daha sonra yeniden kullanılabilir oturum açma belirteci kimliklerini döndürüyor.” şeklinde ekledi.

Başka bir deyişle, bu güvenlik açığı, bir saldırganın özel olarak hazırlanmış bir çerez göndererek kimlik doğrulamasını atlamasına olanak tanıyor. Bu sayede saldırgan, “Yönetici” ayrıcalıklarıyla rastgele eylemler gerçekleştirebiliyor. Bu durum, nihayetinde yönetilen havuzlarda rastgele kod yürütülmesine ve tam bir XCP-ng düğümünün root olarak ele geçirilmesine yol açabiliyor.

Aktif İstismar ve Tehdit Aktörleri

Vates VMS, güvenlik açığının aşağıdaki IP adresi ve TOR alan adından bir tehdit aktörü tarafından aktif olarak istismar edildiğini gözlemlediğini bildirdi:

• 91.211.251[.]112:8001 (VirusTotal’da bir RedLine Stealer komuta ve kontrol (C2) sunucusu olarak işaretlenmiş)
• ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid[.]onion:3333

Bu faaliyetin ne zaman başladığı ve güvenlik açığının sıfır gün istismarı olarak kullanılıp kullanılmadığı henüz net değil.

Diğer Saldırı Göstergeleri

Diğer saldırı göstergeleri şunlardır:

• authenticationToken=j:%7B%7D veya authenticationToken=j:{} içeren HTTP istekleri
• pivot2 adında çalışan bir sanal makine
• “hvm_serial: file” parametresi kullanılarak yapılandırılmış sanal makineler
• /etc/cron.d/zz-ustar2, /etc/cron.d/zz-ustar, /.ustar5 ve /.ustar6 adında şüpheli dosyalar

Çözüm ve Önlemler

Sorun, Xen Orchestra’nın kararlı ve en son kanalları için 6.9.1 ve 6.10.0 sürümlerinde, ayrıca xo-server’ın 5.211.2 ve 5.213.1 sürümlerinde giderilmiştir.

Acil yama uygulanamıyorsa, aşağıdaki hafifletmeler önerilmektedir:

• Xen Orchestra örneklerini internete açık bırakmaktan kaçının.
• Kötü amaçlı etkinlikle ilişkili IP adresini ve alan adını engelleyin.
• Boş belirteci bir web uygulama güvenlik duvarında (WAF) veya ters proxy’de engelleyin.
• Saldırı göstergeleri tespit edilirse Vates VMS’deki tüm parolaları ve sırları değiştirin.

Bu güvenlik açığının keşfi ve raporlanması için Filip Magic (@mad31k) ve TDC NET Security’den Christoffer Olsen’e teşekkür edildi.