要点
- 仮想マシンを管理する Xen Orchestra に、ログインなしで管理者として操作できてしまう欠陥があり、実際に悪用されている。
- 管理画面がインターネットから見える状態だと、仮想基盤全体を乗っ取られるおそれがある。
- 修正版が出ている。更新と、管理画面を外に出さない対策を急ぐべきだ。
何が起きたか
Xen Orchestra は、XCP-ng などの Xen 系の仮想基盤をブラウザから管理するツールだ。開発元の Vates は 2026年11月10日、このツールのログイン確認に欠陥があると発表した（管理番号 VSA-2026-062）。
Vates の説明によると、特殊な形のログイン用の情報を送ると、サーバーがそれを正しく扱えず、既存の利用者のトークン（ログイン済みの証明）の持ち主として認められてしまう。結果として、管理者の権限で操作できる。Vates は重大度を Critical としている。CVE 番号と CVSS（深刻さの点数）は、この時点では付いていない。
Vates は、この欠陥が脅威アクターによって実際に悪用されていると明記した。管理ツールを奪われると、管理下の仮想基盤で任意のコードを実行され、XCP-ng のホストを root（最上位の権限）で乗っ取られるおそれがあるという。
見つけたのは、TDC NET Security の Filip Magic 氏と Christoffer Olsen 氏だ。BleepingComputer もこの件を報じている。
日本の利用者への影響
日本の組織での被害や、日本の利用者への影響については、参照した資料に記載がない。自社で Xen Orchestra や XCP-ng を運用している日本の組織も、同じ条件なら当たる。日本での利用の広さは分からない。
今すぐやること
- 自社で Xen Orchestra（XOA を含む）を使っているか、台帳や担当者に確かめる。
- 修正版に更新する。Vates は 6.9.1（stable）か 6.10.0（latest）を示している。
- 管理画面がインターネットから届かないかを確かめる。Vates は、外に出さず、管理専用のネットワークに置くよう勧めている。
- 更新できない間は、Vates が示した攻撃元との通信を遮断する。Vates は、空のトークンを WAF やリバースプロキシで遮断する方法も挙げている。ただし、正規表現を使うと別の書き方で回避されうるので注意するよう、Vates は述べている。
- 侵入の疑いがあれば、基盤で使うパスワードや鍵を全部変える。Vates は、プロキシ、バックアップ、S3、root、利用者の各アカウントを挙げている。跡の見方は次の「技術者向けの詳細」を参照。
背景
仮想基盤の管理ツールは、1か所を取られると多数のサーバーに手が届く。そのため、攻撃者にとって割のよい標的になる。管理画面を外に公開しない、という基本が守られているかどうかが、被害の分かれ目になる。
今回の欠陥は、細工した値の扱いを誤り、本来は絞り込まれるはずのトークン検索が絞り込まれなかったことが原因とされる。
技術者向けの詳細
- 影響: Vates は、xo-server の 5.213.1 より前の版と 5.213.2 を、Xen Orchestra の 6.9.1（stable）・6.10.0（latest）より前の版にあたるものとして「影響あり」としている。Xen Orchestra の 6.9.1（stable）、6.10.0（latest）で修正。XOA も対象だが、版の記載はない。
- 手元の版は、リリースノートと照らして確かめること。
- Vates が示した攻撃元:
91.211.251.112:8001、および Tor 経由の onion アドレス（ポート 3333）。出入りの両方向を遮断する。 - Xen Orchestra 側の跡:
- 認証なしのアクセスはログに残らない。HTTP の通信を tcpdump や Wireshark で見る必要がある。
- 空のオブジェクトを指すログイン cookie の値（advisory 参照）を含む要求。
pivot2という名前の VM が動いている。
- XCP-ng ホスト側の跡（Vates が示す確認方法）:
xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'
zgrep -- '-serial file:' /var/log/xensource.log*
ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*
- 注意すべきファイル:
/etc/cron.d/zz-ustar、/etc/cron.d/zz-ustar2、/.ustar5、/.ustar6、/etc/ld.so.preload。 - Vates は、これらがこの攻撃だけの跡で、見つからなくても侵入がないとは言えないと書いている。
- 詳細: Vates の advisory、修正の PR #10748。
