Xen Orchestra, bypass di autenticazione critico sfruttato per ottenere accesso admin

Vates VMS, società francese che sviluppa Xen Orchestra, ha segnalato una vulnerabilità critica di bypass dell'autenticazione nel proprio prodotto, indicando che è già sfruttata attivamente sul campo [121]. La falla è tracciata come VSA-2026-062 e non ha ancora ottenuto un identificativo CVE [121].

Il difetto riguarda l'analisi dei cookie nelle chiamate REST, secondo la descrizione riportata [121]. Un bypass di autenticazione su una console di gestione della virtualizzazione significa, nella pratica, la possibilità di ottenere privilegi amministrativi sui sistemi controllati da quella console.

L'assenza di un CVE è un elemento rilevante per chi deve gestire le patch: gli strumenti automatici di scansione si basano in genere su quel registro, quindi la segnalazione del fornitore è per ora l'unico canale di allerta [121]. L'azienda ha classificato il problema come critico e ne ha confermato lo sfruttamento reale.

Non è indicato nei titoli quante installazioni siano esposte, né se siano stati osservati accessi non autorizzati a infrastrutture di clienti specifici [121]. Non è specificato neppure se esista già una versione corretta disponibile per l'aggiornamento.

Per gli amministratori di sistemi virtualizzati il messaggio è di trattare la segnalazione come prioritaria: una console di management compromessa apre la strada a tutte le macchine virtuali che gestisce.