เตือนช่องโหว่วิกฤต Xen Orchestra ถูกแฮกเกอร์ใช้โจมตีแล้ว

Vates ผู้ผลิตซอฟต์แวร์ออกโรงเตือนว่า ผู้ไม่หวังดีกำลังใช้ประโยชน์จากช่องโหว่ระดับวิกฤตของ Xen Orchestra เพื่อข้ามผ่านการยืนยันตัวตน (Authentication Bypass)

Xen Orchestra เป็นโซลูชันบนเว็บสำหรับจัดการ สำรองข้อมูล และกู้คืนความเสียหายในสภาพแวดล้อม Virtualization ของ XCP-ng และ XenServer โดยทำหน้าที่เป็นศูนย์กลางการควบคุมแบบ agentless ที่ครอบคลุมทั้งโฮสต์, VM และระบบจัดเก็บข้อมูล

ช่องโหว่ดังกล่าวอยู่ในกลไกการยืนยันตัวตนของ REST ซึ่งโทเค็นจะถูกเปลี่ยนเป็นค่าว่าง {} และถูกประมวลผลเป็นการค้นหาแบบไม่กรองข้อมูล ส่งผลให้ระบบดึงโทเค็นแรกที่พบในฐานข้อมูลขึ้นมา หากโทเค็นนั้นยังไม่หมดอายุ ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนจะสามารถเข้าสู่ระบบด้วยสิทธิ์ของเจ้าของโทเค็นนั้นได้ทันที

การบุกรุก Xen Orchestra ด้วยวิธีนี้เปิดทางให้ผู้ไม่หวังดีได้รับสิทธิ์ระดับผู้ดูแลระบบ นำไปสู่การรันโค้ดตามอำเภอใจบนพูลที่ถูกจัดการ และอาจเข้ายึดโหนด XCP-ng ทั้งหมดในฐานะ root Vates กล่าว

ข้อบกพร่องนี้ส่งผลกระทบต่อ Xen Orchestra รุ่นก่อนหน้า 6.9.2 (Stable) และ 6.10.1 (Latest) รวมถึง Xen Orchestra Appliance นอกจากนี้ Vates ยังพบ ช่องโหว่ที่สอง ที่แฮกเกอร์กลุ่มเดียวกันใช้ควบคู่กันเพื่อนำเข้า VM อันตรายมาเจาะระบบโฮสต์ XCP-ng ซึ่งขณะนี้อยู่ระหว่างการพัฒนาตัวแก้ไข

ผู้ไม่หวังดีปฏิบัติการผ่านเครือข่าย Tor และไอพี 91.211.251.112:8001 โดยปัจจุบันยังไม่มีการกำหนดหมายเลข CVE ให้กับช่องโหว่เหล่านี้ ทางบริษัทระบุว่าการเข้าถึงที่ไม่ได้รับอนุญาตจะไม่ปรากฏใน log และย้ำว่าการไม่พบ indicators of compromise (IoCs) ตามที่แจ้ง ไม่ได้หมายความว่าระบบปลอดภัยเสมอไป เพราะผู้โจมตีรายอื่นอาจใช้วิธีที่ต่างออกไป

Vates แนะนำให้ผู้ใช้งานวางอินสแตนซ์ Xen Orchestra ไว้หลังเครือข่ายเฉพาะ, บล็อก IP และโดเมนอันตราย, ตั้งค่า WAF ให้บล็อกโทเค็นที่ว่างเปล่า และทำการเปลี่ยนข้อมูลการยืนยันตัวตนใหม่ทั้งหมด หากยืนยันได้ว่าถูกบุกรุกแล้ว แนะนำให้ติดตั้งระบบใหม่ทั้งหมดเพื่อกำจัด backdoor ที่อาจหลงเหลืออยู่