نقص احراز هویت Critical Xen Orchestra برای ربودن سرورهای VM مورد سوء استفاده قرار گرفت

یک آسیب‌پذیری بای پس احراز هویت حیاتی در Xen Orchestra به طور فعال در حملاتی مورد سوء استفاده قرار می‌گیرد که می‌تواند امتیازات سرپرست را اعطا کند و اجازه تصرف میزبان‌های مجازی‌سازی XCP-ng را بدهد.

Xen Orchestra یک پلتفرم مدیریت مبتنی بر وب است که توسط شرکت نرم‌افزار فرانسوی Vates توسعه یافته و برای مدیریت محیط‌های مجازی‌سازی XCP-ng، از جمله ماشین‌های مجازی، هاست‌ها و استخرها استفاده می‌شود.

بر اساس مشاوره امنیتی Vates، این نقص از نحوه پردازش توکن‌های احراز هویت ارسال شده از طریق درخواست‌های REST API ناشی می‌شود.

پس از احراز هویت، مهاجمان می‌توانند «شناسه‌های رمز ورود قابل استفاده مجدد» را از طریق /rest/v0/users/me/authentication_tokens REST API بازیابی کنند، که می‌تواند برای دسترسی بیشتر استفاده شود.

ویتز هشدار می‌دهد: "یک حریف می‌تواند احراز هویت را دور بزند و اقداماتی را با امتیاز "Admin" انجام دهد. سازش ارکستر Xen می‌تواند منجر به اجرای کد دلخواه در استخرهای مدیریت‌شده و تصاحب کامل گره XCP-ng به عنوان ریشه شود."

این شرکت Xen Orchestra 6.9.1 (پایدار) و 6.10.0 (جدیدترین)، از جمله بسته‌های سرور xo-server وصله‌شده 5.211.2 و 5.213.1 را برای رفع این آسیب‌پذیری‌های امنیتی منتشر کرده است.

مدیران باید فورا به‌روزرسانی را نصب کنند و در صورت عدم امکان، دسترسی Xen Orchestra را به شبکه‌های مدیریت اختصاصی محدود کرده و آدرس‌های IP مخرب شناخته شده را مسدود کنند.

محققین امنیتی فیلیپ مجیک و کریستوفر اولسن از TDC NET Security این آسیب پذیری را کشف کردند.

ویتز تأیید کرد که این آسیب‌پذیری به طور فعال مورد سوء استفاده قرار می‌گیرد و شاخص‌های زیر را از سازش (IOC) به اشتراک گذاشت تا به مدیران در شناسایی حملات کمک کند:

زیرساخت مهاجم: اتصالات به 91.211.251.112:8001 یا ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333.

تنظیمات VM اصلاح شده: ماشین های مجازی با پارامتر فایل hvm_serial: پیکربندی شده اند.

فایل‌های غیرمعمول: /etc/cron.d/zz-ustar، /etc/cron.d/zz-ustar2، /.ustar5، و /.ustar6.

مدیران همچنین می‌توانند دستورات زیر را روی میزبان‌های XCP-ng اجرا کنند تا پیکربندی‌های غیرمعمول VM، ماشین‌های مجازی پیکربندی شده برای استفاده از فایل برای پورت سریال و فایل‌های مخرب را بررسی کنند:

این شرکت همچنین می گوید که این IOC ها فقط با این کمپین حمله شناخته شده مرتبط هستند و ممکن است برای سایر عوامل تهدید متفاوت باشند.

شرکت هایی که معتقدند به خطر افتاده اند باید رمزهای عبور و اسرار مورد استفاده در محیط مجازی سازی خود را بچرخانند.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

هکرها اکنون از نقایص حیاتی Barracuda ESG برای دستیابی به دسترسی روت سوء استفاده می کنند

CISA می گوید که حداکثر شدت نقص GitLab اکنون در طبیعت مورد سوء استفاده قرار گرفته است

وصله های BeyondTrust در روز صفر که از ماه اوت در حملات مورد سوء استفاده قرار می گیرند

ایوانتی هشدار می دهد که Connect Secure روز صفر در حملات مورد سوء استفاده قرار می گیرد

نقص‌های اصلاح‌نشده AhsayCBS برای استقرار پوسته‌های وب و استخراج کریپتو مورد سوء استفاده قرار می‌گیرند.