Vates 确认攻击者绕过 Xen Orchestra 登录并滥用虚拟机导入
Vates 确认攻击者绕过 Xen Orchestra 登录并滥用虚拟机导入。升级至 stable 6.9.2 或 latest 6.10.1 可修复登录绕过。虚拟机导入另需修复，发布前应仅允许 Admin 操作。
- 披露时间
- 2026年11月10日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 可被访问的 Xen Orchestra 和 XOA 管理控制台，以及获授虚拟机导入或网络管理权限的用户。
- Xen Orchestra · XCP-ng · 认证 · 虚拟化
- 在野利用
- 已发现
- Vates 观察到攻击者滥用两条路径。
发生了什么
VSA-2026-062 影响 REST 认证流程。攻击者能访问有漏洞的控制台时，可让异常 Cookie 被解析为不带过滤条件的查询。若返回的令牌仍有效，请求方就能以令牌持有者的身份操作。取得管理员权限后，攻击者可在受管资源池执行代码，并可能获得 XCP-ng 节点的 root 权限。
VSA-2026-063 影响 6.10.1 及更早版本和 XOA。Xen Orchestra 使用资源池管理员权限向 XAPI 提交导入请求。持有上列任一权限的用户都可能提交特制 XVA 并攻陷主机。Vates 观察到攻击者绕过登录取得 Admin 权限后使用该导入路径。两份公告均未列出 CVSS 评分或 CVE，Vates 也未公布受害者数量。
排查。 网络指标包括 91.211.251[.]112:8001 · 193.148.56[.]72 · 37.221.208[.]216 · 45.66.35[.]11 · 64.65.0[.]120 · 64.65.62[.]160 · 89.47.51[.]90 · 92.60.37[.]247 · ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid[.]onion:3333。在 TLS 终止处检查可用的 HTTP 日志或流量捕获，查找值为空对象的 authenticationToken Cookie，例如 authenticationToken=j:{} 或 authenticationToken=j:%7B%7D。核查运行中的虚拟机和主机日志中的这些痕迹：pivot2 · hvm_serial: file · /var/log/xensource.log* （搜索 -serial file:） · /etc/cron.d/zz-ustar2 · /etc/cron.d/zz-ustar · /.ustar5 · /.ustar6 · /etc/ld.so.preload。完整方法见 VSA-2026-062 的 Detection 和 Mitigations 部分。单个命中不足以确认失陷。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Xen Orchestra stable 渠道 | 6.9.2 | |
| Xen Orchestra latest 渠道 | 6.10.1 | |
| 虚拟机导入 | 无修复 | 仅允许 Admin |
案发时间线
2026年11月10日
Vates 披露 Xen Orchestra 两条已遭利用的路径
两个发布渠道均已修复登录绕过，虚拟机导入漏洞仍在修复中。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Vates VSA-2026-062一手来源确认在野利用、登录绕过修复版本、检测指标及恢复指引。
- Vates VSA-2026-063一手来源说明虚拟机导入漏洞的利用前提、观测到的攻击链和临时权限缓解措施。