עקיפת אימות קריטית ב־Xen Orchestra מנוצלת בתקיפות

SecurityWeek מדווח, בהסתמך על יצרנית התוכנה Vates, ששחקן איום מנצל עקיפת אימות בחומרה קריטית ופגיעות יום אפס ב־Xen Orchestra, פתרון מבוסס אינטרנט לגיבוי, לניהול ולהתאוששות מאסון עבור סביבות XCP-ng ו־XenServer. לדברי Vates, הפגם באימות במנגנון האימות של REST מאפשר לתוקפים לא מאומתים לעקוף את האימות ולקבל הרשאות מנהל. הגרסאות המושפעות הן אלה שקודמות ל־6.9.2 (יציבה) ול־6.10.1 (העדכנית), וכן Xen Orchestra Appliance.

לדברי Vates, פגיעות יום האפס דורשת הרשאות מנהל ומאפשרת ייבוא זדוני של VM שעלול לפגוע במארחי XCP-ng, והיא עדיין לא פיתחה את התיקון, שנמצא בפיתוח. החברה מסרה שהתוקף פעל בתחילה מ־91.211.251.112:8001 ודרך רשת Tor, ושלא הוקצה מזהה CVE. Vates מזהירה שגישה לא מורשית אינה נרשמת ביומן, ושיתפה אינדיקטורים לפגיעה המוגבלים לקמפיין זה.

Vates ממליצה למקם מופעי Xen Orchestra מאחורי רשת ייעודית, לחסום כתובות IP ושמות דומיין קשורים, לחסום את האסימון הריק בכלל WAF ולהחליף את כל האישורים שייתכן שנפגעו. במקרה של פגיעה מאושרת החברה ממליצה על התקנה מחדש מלאה, שכן ניקוי בלבד אינו יכול להבטיח הסרה של כל דלתות האחוריות.

למה זה חשוב Xen Orchestra מנהל מארחים, VM ומאגרי אחסון, ולכן פגיעה בגישת המנהל שלו עלולה להתפשט לצמתי XCP-ng המנוהלים. ארגונים שמפעילים גרסאות מושפעות או את Xen Orchestra Appliance כדאי שיבדקו את הגרסאות, יצמצמו את החשיפה לרשת, יסקרו את האישורים ובמקרה של פגיעה מאושרת יתכננו התקנה מחדש מלאה, כפי ש־Vates ממליצה. מכיוון שגישה לא מורשית אינה נרשמת ביומן ועדיין אין תיקון לפגיעות יום האפס, היעדר האינדיקטורים לפגיעה שפורסמו אינו מוכיח שמערכת נקייה.