No hace falta contraseña: basta una cookie. Hallan en Xen Orchestra una vulnerabilidad que ya están explotando los hackers

En Xen Orchestra se descubrió una vulnerabilidad crítica que los atacantes ya están usando para eludir la autorización. Basta con modificar el valor de una cookie para acceder al panel de administración de virtualización sin contraseña. Pueden quedar en riesgo clústeres enteros de servidores.

La empresa Vates publicó el aviso VSA-2026-062 el 10 de noviembre. El problema afecta a Xen Orchestra y al paquete de software Xen Orchestra Appliance, a través de los cuales los administradores gestionan máquinas virtuales y servidores XCP-ng. El desarrollador calificó la brecha con nivel de criticidad alto, aunque por ahora faltan el número CVE y la puntuación CVSS.

La causa radica en el manejo de las cookies por parte del sistema REST API. El valor especial authenticationToken=j:%7B%7D se convierte en un objeto JSON vacío {}. En lugar de rechazar el token de autenticación inválido, el servidor transmite el objeto al mecanismo de búsqueda de tokens. El objeto vacío elimina las restricciones de búsqueda y el sistema selecciona la primera entrada.

Si el token encontrado aún es válido, Xen Orchestra acepta la solicitud como si proviniera de su propietario. Tras autenticarse, el atacante puede obtener, a través de /rest/v0/users/me/authentication_tokens, los identificadores de los tokens activos para acceder de nuevo. Un ataque exitoso permite eludir la verificación de credenciales y operar con los permisos del propietario del token encontrado.

Las consecuencias no se limitan al panel web. Según Vates, la toma de Xen Orchestra puede conducir a la ejecución de código arbitrario en los pools gestionados y al control total de los nodos XCP-ng con privilegios root. Un fallo en el mecanismo de acceso plantea una amenaza para la infraestructura de virtualización donde se alojan varios sistemas de producción.

El desarrollador confirmó ataques reales y divulgó la dirección del servidor de control 91.211.251.112:8001, así como el servicio asociado en la red Tor. Para buscar indicios de intrusión, Vates recomienda comprobar la presencia de la máquina virtual pivot2, los archivos /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 y /.ustar6, así como parámetros sospechosos del puerto serie en los registros de XCP-ng.

Las correcciones están disponibles en Xen Orchestra 6.9.1 para el canal estable y 6.10.0 para el canal latest. A nivel de xo-server, el desarrollador indica las versiones 5.211.2 y 5.213.1, respectivamente. En la lista de compilaciones afectadas del boletín hay discrepancias en los números, por lo que al actualizar es mejor guiarse por la sección de correcciones y verificar el paquete instalado.

En el boletín VSA-2026-062, Vates recomienda actualizar el sistema de inmediato, retirar Xen Orchestra de Internet público y trasladar el panel a una red de gestión separada. Antes de instalar el parche, se pueden bloquear los valores peligrosos de cookies en el proxy inverso o en el WAF, así como cortar la comunicación con la infraestructura de los atacantes. Los indicios de compromiso detectados requieren una investigación aparte.

La vulnerabilidad fue descubierta por Filip Magic y Kristoffer Olsen de TDC NET Security. El caso difiere de los ataques en los que el atacante primero se introduce en la máquina virtual y luego intenta escapar al anfitrión. Aquí el atacante empieza por la interfaz de gestión, por lo que la toma de una única consola puede afectar a varios servidores a la vez.