Vates warnt vor aktiven Angriffen auf Xen Orchestra. Eine kritische Lücke in der REST-Anmeldung gibt Angreifern ohne Passwort Adminrechte. Ein zweiter Fehler ist ein Zero-Day ohne Fix. Updates auf 6.9.2 und 6.10.1 schliessen nur die Anmeldelücke.
Inhalt 7 Abschnitte
Zwei Lücken in Xen Orchestra werden aktiv ausgenutzt, eine davon hat noch keinen Fix. Wer XCP-ng oder XenServer verwaltet, sollte sofort prüfen, welche Version läuft.
Auf einen Blick
- Aktive Angriffe: Der Hersteller Vates meldet, dass ein Angreifer eine kritische Lücke und einen Zero-Day in Xen Orchestra ausnutzt.
- Betroffene Versionen: Releases vor 6.9.2 (stabil) und 6.10.1 (aktuell) sowie die Xen Orchestra Appliance.
- Folgen: Angreifer können Code als Admin ausführen und XCP-ng-Hosts als root übernehmen.
- Lage bei den Fixes: Für die Anmeldelücke gibt es Updates, für den Zero-Day wird noch an einer Korrektur gearbeitet.
Was Xen Orchestra ist und was passiert
Xen Orchestra ist eine webbasierte Lösung für Backup, Verwaltung und Notfallwiederherstellung. Sie dient als zentrale Steuerung für Hosts, virtuelle Maschinen, Speicher und Pools in Umgebungen mit XCP-ng und XenServer. Die Software arbeitet ohne Agenten auf den Hosts.
Laut dem Bericht von SecurityWeek nutzt ein Angreifer zwei Schwachstellen aus. Vates hat die Warnung selbst veröffentlicht, die Details stehen im Advisory von Vates. Wann die Meldung erstmals erschien und ob sie später aktualisiert wurde, nennen die gelieferten Quellen nicht. Dieser Beitrag bildet den Stand vom 12. November 2026 ab.
Dabei geht es um zwei getrennte Fehler. Der erste ist kritisch und braucht keine Anmeldung. Der zweite verlangt Adminrechte, ist aber ebenfalls im Einsatz.
Die Lücke in der REST-Anmeldung
Der Fehler liegt im Mechanismus für die REST-Authentifizierung. Ein Anmeldetoken wird in ein leeres Objekt umgewandelt. Das System behandelt dieses Objekt danach als ungefilterte Suche. Die Token-Sammlung liefert deshalb das erste vorhandene Token zurück.
Ist dieses Token nicht abgelaufen, meldet der Provider den Angreifer als dessen Besitzer an. So werden wiederverwendbare Token-IDs sichtbar. Angreifer ohne Anmeldung erhalten Adminrechte, ohne ein Passwort zu kennen.
Vates fasst die Folgen so zusammen: Eine Übernahme von Xen Orchestra kann zu beliebiger Codeausführung auf verwalteten Pools führen. Ein Host mit XCP-ng lässt sich dann als root komplett übernehmen.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
Betroffene stabile Version |
vor 6.9.2 |
Ältere Stände sind angreifbar und sollten aktualisiert werden |
Betroffene aktuelle Version |
vor 6.10.1 |
Auch der neuere Zweig braucht das Update |
CVE-Nummer |
keine vergeben |
Suchen nach einer CVE-ID führen derzeit ins Leere |
Protokollierung |
kein Eintrag |
Unbefugter Zugriff taucht nicht im Log auf |
Der Zero-Day und die Spuren des Angreifers
Der zweite Fehler ist ein Zero-Day, also eine Lücke ohne verfügbaren Fix. Er setzt Adminrechte voraus. Wer sie über die Anmeldelücke erlangt hat, kann sie verketten. Die Schwachstelle erlaubt manipulierte VM-Importe, die XCP-ng-Hosts kompromittieren können. Die Details stehen im Advisory zum Zero-Day. Eine Korrektur ist noch in Arbeit.
Zum Angreifer nennt Vates folgende Punkte:
- Er arbeitete zunächst von der Adresse 91.211.251.112:8001.
- Er nutzte zusätzlich das Tor-Netzwerk.
- Vates hat Kompromittierungsindikatoren (IoCs) veröffentlicht.
- Diese Indikatoren gelten nur für diese eine Kampagne.
Daher reicht ein Abgleich mit den IoCs nicht aus. Vates schliesst Angriffe anderer Täter mit anderer Infrastruktur ausdrücklich nicht aus. Fehlen die Indikatoren, beweist das keine saubere Umgebung. Da unbefugter Zugriff nicht protokolliert wird, fehlt zudem ein zweiter Anhaltspunkt.
Einordnung: Was das für Admins heisst
Admins von Xen Orchestra prüfen zuerst die Version und wechseln auf 6.9.2 (stabil) oder 6.10.1 (aktuell). Die Quelle nennt keine Frist, doch aktive Angriffe sprechen für sofortiges Handeln. Zusätzlich sollten sie ihre Umgebung anhand der veröffentlichten IoCs untersuchen. Wegen der fehlenden Protokollierung gilt: Ein sauberer Befund ist nur ein Hinweis, kein Beweis. Gegen den Zero-Day gibt es noch keinen Patch. Vates empfiehlt laut Quelle Schutzmassnahmen für den Zugang, der Text bricht an dieser Stelle jedoch ab. Die genaue Empfehlung steht im Advisory. Kosten für das Update nennt die Quelle nicht.
Fazit
Die Anmeldelücke lässt sich mit einem Update schliessen, der Zero-Day nicht. Aktualisiere Xen Orchestra jetzt, lies die beiden Advisories und gleiche deine Umgebung mit den IoCs ab. Beobachte danach, wann Vates die Korrektur für den Zero-Day freigibt.
Quellen: SecurityWeek. Foto: BookBabe / Pixabay. Stand: 12. November 2026.
Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.