Vates VMS, Xen Orchestra ve Xen Orchestra Appliance’ta kritik düzeyde bir güvenlik açığının aktif olarak sömürüldüğünü duyurdu. Henüz bir CVE numarası atanmayan açık, saldırganın özel hazırlanmış bir çerezle kimlik doğrulamayı atlamasına ve yönetici yetkileriyle işlem yapmasına izin veriyor.
Şirketin VSA-2026-062 koduyla izlediği sorun, Xen Orchestra 6.9.2’den önceki kararlı sürümleri ve 6.10.1’den önceki en güncel sürümleri etkiliyor. Vates, saldırının ilk olarak 91.211.251[.]112:8001 adresinden ve Tor üzerinden erişilen ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid[.]onion:3333 alanından yürütüldüğünü belirtti. Bu adresin VirusTotal’da RedLine Stealer komuta ve kontrol sunucusu olarak işaretlendiği de aktarıldı.
Çerezden yönetici oturumuna uzanan yol
Vates’in teknik açıklamasına göre saldırı, REST istemcisinin authenticationToken=j:%7B%7D değerini {} biçiminde yorumlamasıyla başlıyor. Ardından REST kimlik doğrulaması, bu nesneyi XO token sağlayıcısına bir dize kontrolü yapmadan aktarıyor. Token koleksiyonu {} değerini filtresiz sorgu olarak ele alıp ilk token’ı döndürüyor; token süresi dolmamışsa sağlayıcı, o token’ın sahibini doğrulanmış kullanıcı kabul ediyor.
Şirketin uyarısında, “REST cookie parsing turns authenticationToken=j:%7B%7D into {}” ifadesine yer verildi. Bir başka açıklamada da “REST authentication passes that object to the XO token provider without requiring a string” denildi. Bu zincir tamamlandığında /rest/v0/users/me/authentication_tokens yolu yeniden kullanılabilir oturum token kimliklerini döndürüyor.
Vates, bunun saldırgana kimlik doğrulamayı aşma, “Admin” yetkisiyle işlem yapma ve yönetilen havuzlarda rastgele kod çalıştırma imkânı verdiğini aktardı. Şirket, bunun XCP-ng düğümünün root yetkisiyle tamamen ele geçirilmesine kadar gidebildiğini de ekledi.
İzler ve tespit kalıpları
İncelemeye göre saldırıyla bağlantılı birkaç gösterge de var. Bunlar arasında authenticationToken=j:%7B%7D ya da authenticationToken=j:{} içeren HTTP istekleri, çalışan pivot2 adlı sanal makine, hvm_serial: file parametresiyle yapılandırılmış sanal makineler ve /etc/cron.d/zz-ustar2, /etc/cron.d/zz-ustar, /.ustar5 ile /.ustar6 adlı şüpheli dosyalar bulunuyor.
Vates, saldırı faaliyeti için başlangıç zamanının netleşmediğini ve açığın sıfırıncı gün olarak kullanılıp kullanılmadığının bilinmediğini söyledi. Şirket, bazı IoC’lerin yanında bu trafik örüntülerinin de izlenmesi gerektiğini belirtti.
Yama, sürümler ve geçici önlemler
Açık, Xen Orchestra 6.9.1 ve 6.10.0 sürümleriyle birlikte xo-server 5.211.2 ve 5.213.1 için kapatıldı. Sabit ve en güncel kanallarda yayımlanan bu düzeltmelerle birlikte Xen Orchestra Appliance tarafında da güncelleme yayımlandı.
Hemen yama uygulanamıyorsa Vates, Xen Orchestra örneklerinin internete açılmamasını, kötü amaçlı etkinliklerle ilişkilendirilen IP ve alan adının engellenmesini ve boş token’ın bir WAF ya da reverse proxy üzerinden bloke edilmesini önerdi. Şirket ayrıca bir uzlaşma göstergesi saptanırsa Vates VMS üzerindeki tüm parola ve gizli bilgilerin döndürülmesini tavsiye etti.
Filip Magic (@mad31k) ile TDC NET Security’den Christoffer Olsen, açığı bulan ve bildiren isimler olarak paylaşıldı.