ثغرة Xen Orchestra مستغلة: تجاوز المصادقة والسيطرة على XCP-ng

الثغرة ليس لها رقم CVE بعد، وتتبعها Vates برقم VSA-2026-062. وسببها أن الكوكي authenticationToken=j:{} يتحول عند التحليل إلى كائن فارغ {}، فيعامله نظام التوكنات كبحث بلا فلتر ويعيد أول توكن موجود، فيدخل المهاجم باسم صاحب ذلك التوكن. ومن هناك يحصل على توكنات دخول قابلة لإعادة الاستخدام، فينفذ أوامر بصلاحية Admin، ويصل إلى تنفيذ كود على الـ Pools المدارة والسيطرة الكاملة على عقدة XCP-ng.

وأعلنت Vates لاحقاً أن الهجمات تجمعها مع ثغرة ثانية VSA-2026-063، تسمح لمستخدم محدود الصلاحيات باستيراد جهاز افتراضي خبيث (ملف XVA) بمفاتيح معدّة خصيصاً، واختراق مضيف XCP-ng.

مؤشرات الاختراق (IoCs)

• العنوان 91.211.251[.]112:8001، المصنّف كخادم تحكم لـ RedLine Stealer، ونطاق على شبكة Tor.
• طلبات HTTP تحتوي authenticationToken=j:%7B%7D.
• جهاز افتراضي يعمل باسم pivot2، أو أجهزة مضبوطة بالخيار hvm_serial: file.
• ملفات مثل /etc/cron.d/zz-ustar و/.ustar5.

ماذا تفعل؟

1. حدّث Xen Orchestra إلى 6.9.1 (stable) أو 6.10.0 (latest)، أو xo-server إلى 5.211.2 أو 5.213.1.
2. لا تكشف واجهة Xen Orchestra على الإنترنت.
3. إن لم تستطع التحديث فوراً، فاحجب التوكن الفارغ عبر WAF أو Reverse Proxy، واحجب عناوين المهاجم.
4. إن وجدت مؤشرات اختراق، فغيّر كل كلمات المرور والأسرار.