Impatto Sistemico

Critico (79.35)

Sintesi

Vates ha rilevato lo sfruttamento in rete di vulnerabilità che interessano Xen Orchestra e Xen Orchestra Appliance, soluzioni per la gestione centralizzata di infrastrutture di virtualizzazione basate su XCP-ng e Xen. Tali vulnerabilità potrebbero consentire a un attaccante remoto non autenticato di eludere i meccanismi di autenticazione e sicurezza, acquisire privilegi amministrativi ed eseguire codice arbitrario sui sistemi interessati.

Tipologia

• Arbitrary Code Execution
• Authentication Bypass
• Privilege Escalation
• Security Restrictions Bypass

Descrizione e potenziali impatti

La prima vulnerabilità è dovuta a un’errata gestione dei cookie di autenticazione durante il parsing delle richieste REST: un valore appositamente costruito viene convertito in un oggetto vuoto e trasmesso al provider di autenticazione senza adeguati controlli. L’oggetto viene quindi interpretato come un criterio di ricerca privo di filtri, determinando la restituzione del primo token valido disponibile e l’autenticazione dell’attaccante come relativo proprietario. Un utente malevolo può sfruttare tale vulnerabilità tramite richieste HTTP opportunamente predisposte, aggirando completamente il processo di autenticazione e ottenendo accesso con privilegi amministrativi su Xen Orchestra. Il successivo abuso dell’accesso amministrativo ottenuto può portare all’esecuzione di codice arbitrario sui pool gestiti e alla completa compromissione dei nodi XCP-ng.

La seconda vulnerabilità è dovuta alla mancata validazione di parametri di configurazione pericolosi contenuti nei file XVA importati, che Xen Orchestra inoltra a XAPI mediante richieste eseguite con il ruolo altamente privilegiato pool-admin , senza analizzare o modificare adeguatamente il file ova.xml . Un utente autenticato con privilegi limitati (quali vm.import , sr/import:vm , network/action:create o network/action:update ) può sfruttare tale vulnerabilità importando una macchina virtuale XVA appositamente predisposta e contenente chiavi manipolate, al fine di aggirare le restrizioni associate ai privilegi posseduti, alterare configurazioni riservate e arrivare a compromettere l’host XCP-ng sottostante.

Prodotti e/o versioni affette

Xen Orchestra

• 6.9.x (stable), versioni precedenti alla 6.9.2

• 6.10.x (latest), versioni precedenti alla 6.10.1

Xen Orchestra Appliance

Azioni di mitigazione

Ove non già provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile, seguendo le indicazioni fornite ai link disponibili nella sezione Riferimenti.

Per Xen Orchestra e xo-server sono disponibili aggiornamenti correttivi nei canali latest e stable . Per la vulnerabilità relativa all’importazione di macchine virtuali, in attesa del rilascio di una correzione, si raccomanda di autorizzare tale operazione esclusivamente agli utenti con privilegi amministrativi e di disabilitare gli account ai quali siano stati assegnati i privilegi vm.import , sr/import:vm , network/action:create o network/action:update .

Si segnala infine la disponibilità all’interno del bollettino di sicurezza VSA-2026-062 , di alcune misure di mitigazione, riportate nella sezione ” Mitigations “, e di specifiche istruzioni per il rilevamento di eventuali tentativi di sfruttamento avvenuti sui propri sistemi, riportate nella sezione ” Detection “.