A empresa de software francesa Vates VMS alertou sobre uma vulnerabilidade de segurança crítica no Xen Orchestra que, segundo a empresa, está sendo explorada ativamente na natureza.
A falha de contorno de autenticação, que ainda não possui um identificador CVE (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns), é monitorada como VSA-2026-062.
“O parsing de cookies REST transforma authenticationToken=j:%7B%7D em {}”, afirmou a Vates VMS em um alerta. “A autenticação REST passa esse objeto ao provedor de tokens do XO sem exigir uma string.”
“A coleção de tokens trata {} como uma busca sem filtros e retorna seu primeiro token; o provedor autentica como o proprietário desse token, caso ele não tenha expirado. A rota autenticada /rest/v0/users/me/authentication_tokens então retorna IDs de tokens de login reutilizáveis.”
Em outras palavras, a vulnerabilidade pode permitir que um atacante contorne a autenticação enviando um cookie especialmente elaborado e execute ações arbitrárias com privilégios de “Admin”. Isso pode resultar em execução arbitrária de código nos pools gerenciados e na tomada total de um nó XCP-ng (plataforma de virtualização de código aberto) com privilégios de root.
A Vates VMS afirmou que observa a vulnerabilidade sendo explorada ativamente por um agente de ameaça a partir do seguinte endereço IP e domínio na rede Tor (rede de anonimização da internet):
- 91.211.251[.]112:8001, sinalizado no VirusTotal como servidor de comando e controle (C2, na sigla em inglês) do infostealer RedLine Stealer
- ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid[.]onion:3333
Não está claro quando a atividade começou nem se a vulnerabilidade foi explorada como zero-day (falha explorada antes de ser divulgada ou corrigida).
Outros indicadores de comprometimento estão listados abaixo:
- requisições HTTP (protocolo de transferência de hipertexto) contendo authenticationToken=j:%7B%7D ou authenticationToken=j:{}
- uma máquina virtual (VM, na sigla em inglês) em execução chamada pivot2
- máquinas virtuais configuradas com o parâmetro "hvm_serial: file"
- arquivos suspeitos chamados /etc/cron.d/zz-ustar2, /etc/cron.d/zz-ustar, /.ustar5 e /.ustar6
O problema foi corrigido no Xen Orchestra 6.9.1 e 6.10.0, para os canais stable e latest, bem como nas versões 5.211.2 e 5.213.1 do xo-server. Se a aplicação imediata da correção não for possível, são recomendadas as seguintes medidas de mitigação:
- Evitar expor instâncias do Xen Orchestra na internet
- Bloquear o endereço IP e o domínio associados à atividade maliciosa
- Bloquear o token vazio em um firewall de aplicação web (WAF, na sigla em inglês) ou em um proxy reverso
- Renovar todas as senhas e segredos da Vates VMS caso sejam detectados indicadores de comprometimento
Filip Magic (@mad31k) e Christoffer Olsen, da TDC NET Security, são creditados pela descoberta e pelo reporte da falha.
