软件厂商 Vates 警告，已有威胁行为者正在利用 Xen Orchestra 中一个严重级别的认证绕过漏洞，同时搭配一个尚未推出补丁的零日漏洞发起攻击。Xen Orchestra 是面向 XCP-ng 与 XenServer 虚拟化环境的网页版备份、管理与灾难恢复解决方案，以无代理方式充当跨主机、虚拟机、存储和资源池的控制中心。
REST 认证机制中的缺陷
该严重漏洞出在 REST 认证机制上：认证令牌被转换为 {}，随后被当作未经过滤的查询条件处理，于是令牌集合返回的第一个令牌被取用。只要该令牌尚未过期，提供方就会以令牌所有者的身份完成认证。这一路径暴露了可重复使用的登录令牌 ID，使未认证的攻击者得以绕过身份验证，直接取得管理员权限。
Vates 指出，Xen Orchestra 一旦被攻陷，攻击者可以在受管资源池上执行任意代码，并以 root 身份完全接管 XCP-ng 节点。
受影响的版本为 6.9.2（stable）和 6.10.1（latest）之前的 Xen Orchestra 发行版，以及内置 Xen Orchestra 的 Xen Orchestra Appliance。
零日漏洞与攻击基础设施
Vates 表示，同一威胁行为者同时利用了上述漏洞和一个需要管理员权限的零日漏洞。该零日漏洞允许恶意导入虚拟机，可能危及 XCP-ng 主机，修复程序目前仍在开发之中。
据该公司说明，攻击者最初的活动来自 91.211.251.112:8001，并通过 Tor 网络进行。上述安全缺陷均未分配 CVE 编号。
日志缺失与处置建议
Vates 警告称，未授权访问不会被记录。公司已公布与此次观察到的攻击相关的入侵指标（IoC），并说明这些指标仅限用于这一特定攻击活动。
Vates 表示，不能排除其他威胁行为者使用不同的战术、技术和基础设施利用该漏洞；仅凭未发现这些入侵指标，并不足以断定系统没有遭到入侵。
该公司建议将 Xen Orchestra 实例部署在专用网络之后，封禁与已知恶意活动相关的 IP 地址和域名，在 WAF 规则中拦截空令牌，并轮换所有可能已泄露的凭据。
Vates 还表示，若确认遭到入侵，建议进行完整重装，因为仅靠清理无法保证清除攻击者留下的全部后门。