Veille menaces / Faille
Xen Orchestra : un jeton de connexion vide donne aux attaquants les droits d'admin sur des serveurs de virtualisation
Le 10 novembre 2026, Vates, l'éditeur français de Xen Orchestra, a publié un avis critique sur un contournement d'authentification dans son outil de gestion de la virtualisation et dans la Xen Orchestra Appliance. Un cookie contenant un jeton vide connecte l'attaquant avec les droits d'administrateur, ce qui peut mener, selon Vates, à l'exécution de code sur les pools gérés et à la prise de contrôle complète d'un nœud XCP-ng en root. Vates indique que la faille est activement exploitée et a publié des correctifs.
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- Xen Orchestra, Xen Orchestra Appliance, XCP-ng
- Comment c'est arrivé
- Un contournement d'authentification dans l'interface REST de Xen Orchestra (VSA-2026-062, pas encore de CVE) : un cookie authenticationToken=j:%7B%7D devient un objet vide, que la recherche de jetons traite comme une requête sans filtre, si bien que l'attaquant est connecté comme le titulaire d'un jeton existant, sans identifiants. Il faut un accès réseau à l'interface de gestion. Selon Vates, « un attaquant peut contourner l'authentification et agir avec les privilèges 'Admin' ».[1][2] Vérifié le 10 nov. 2026
- Ce qui a été volé
- Pas encore public Vérifié le 10 nov. 2026
- Qui est touché
- Les organisations qui utilisent Xen Orchestra ou la Xen Orchestra Appliance dans une version antérieure aux correctifs, avec une interface de gestion joignable par l'attaquant. Vates confirme une exploitation active mais n'a pas dit combien de systèmes ont été touchés.[1][2] Vérifié le 10 nov. 2026
- Acteur
- Non attribué
Chronologie
- Vates publie l'avis VSA-2026-062, classé critique, attribué à Filip Magic et Christoffer Olsen de TDC NET Security. Il indique que la faille est activement exploitée par un attaquant opérant depuis 91.211.251.112:8001 et une adresse Tor, et publie les correctifs dans Xen Orchestra 6.9.1 (stable) et 6.10.0 (latest), avec xo-server 5.211.2 et 5.213.1. [1]
- Vates demande de ne pas exposer Xen Orchestra sur Internet, de bloquer les adresses de l'attaquant et le motif du jeton vide, et de chercher une VM nommée pivot2 et des fichiers comme /etc/cron.d/zz-ustar. BleepingComputer relève que, selon Vates, l'exploitation ne laisse aucun identifiant dans les journaux, et conseille de changer les mots de passe et secrets de la virtualisation en cas de compromission. [1][2]