بهره‌برداری مهاجمان از آسیب‌پذیری‌های بحرانی در Xen Orchestra
Critical Xen Orchestra Flaws Exploited in Attacks
شرکت Vates از شناسایی حملات فعال علیه آسیب‌پذیری‌های بحرانی در نرم‌افزار Xen Orchestra خبر داد. این نقص‌های امنیتی به مهاجمان اجازه می‌دهد تا با دور زدن احراز هویت، دسترسی مدیریتی کامل به محیط‌های مجازی‌سازی XCP-ng و XenServer پیدا کنند.
جزئیات فنی و نحوه نفوذ
آسیب‌پذیری اصلی در مکانیزم احراز هویت REST نهفته است. در این نقص، توکن احراز هویت به صورت {} پردازش شده و به عنوان یک جستجوی فیلترنشده تلقی می‌شود که منجر به بازگرداندن اولین توکن موجود در مجموعه توکن‌ها می‌گردد. اگر این توکن منقضی نشده باشد، ارائه‌دهنده خدمات، مهاجم را به عنوان مالک توکن شناسایی کرده و اجازه دسترسی می‌دهد.
این نقص امنیتی به مهاجمان اجازه می‌دهد تا بدون احراز هویت، امتیازات مدیریتی کسب کنند. شرکت Vates هشدار داده است که بهره‌برداری از این حفره می‌تواند منجر به اجرای کد دلخواه در استخرهای مدیریت‌شده و تسلط کامل بر گره‌های XCP-ng با سطح دسترسی ریشه (root) شود.
آسیب‌پذیری‌های تحت تأثیر و حملات مشاهده‌شده
این نقص‌های امنیتی نسخه‌های پیش از 6.9.2 (نسخه پایدار) و 6.10.1 (نسخه جدید) از Xen Orchestra و همچنین Xen Orchestra Appliance را تحت تأثیر قرار می‌دهند. علاوه بر این، یک آسیب‌پذیری روز-صفر دیگر نیز شناسایی شده که نیازمند دسترسی مدیریتی است و امکان وارد کردن مخرب ماشین‌های مجازی (VM) را فراهم می‌کند که می‌تواند منجر به نفوذ به میزبان‌های XCP-ng شود.
مهاجمان در این حملات از آدرس IP 91.211.251.112:8001 و شبکه Tor استفاده کرده‌اند. با توجه به اینکه دسترسی‌های غیرمجاز در این حملات ثبت نمی‌شوند، شرکت Vates تأکید کرده است که نبود شاخص‌های آلودگی (IoCs) به معنای عدم وقوع نفوذ نیست.
نکته‌های کلیدی
- وجود نقص بحرانی در مکانیزم احراز هویت REST در Xen Orchestra.
- امکان دستیابی مهاجمان به سطح دسترسی ریشه و اجرای کد دلخواه.
- شناسایی یک آسیب‌پذیری روز-صفر دیگر برای وارد کردن مخرب ماشین‌های مجازی.
- عدم ثبت لاگ‌های مربوط به دسترسی‌های غیرمجاز توسط سیستم.
- تأثیرگذاری بر نسخه‌های پیش از 6.9.2 و 6.10.1.
توصیه‌های منبع
جمله‌های خود خبر، بدون تغییر: SecurityWeek
“The company recommends placing Xen Orchestra instances behind a dedicated network, blocking IP addresses and domain names associated with known malicious activity, blocking the empty token in a WAF rule, and rotating all potentially compromised credentials.”
“In case of a confirmed compromise, a full reinstallation is recommended as cleanup alone cannot guarantee the removal of all backdoors left by the attacker”