Saldırganlar Xen Orchestra'daki kritik kimlik doğrulama açığını aktif olarak kullanıyor
Orijinal başlık: Hackers Exploit Critical Xen Orchestra Auth Bypass Flaw to Gain Admin Access
Kısaca
Fransız yazılım şirketi Vates VMS, Xen Orchestra'da aktif olarak sömürülen kritik bir güvenlik açığı uyarısı yayımladı. Açık henüz CVE kimliğine sahip değil ve VSA-2026-062 olarak takip ediliyor.
Ne oldu?
- REST cookie parsing, authenticationToken=j:%7B%7D değerini boş bir nesneye dönüştürerek kimlik doğrulamayı atlatıyor.
- Açık, saldırganlara Xen Orchestra üzerinde yönetici erişimi kazandırıyor; henüz bir CVE kimliği atanmadı.
Neden önemli?
Xen Orchestra ile sanallaştırma altyapısı yöneten ekipler, saldırganların yönetici erişimi ele geçirme riski nedeniyle sistemlerini derhal güncellemeli veya yönetim arayüzüne erişimi kısıtlamalı.