חברת Vates הצרפתית, שמפתחת את Xen Orchestra, הכלי לניהול שרתי הווירטואליזציה XCP-ng, הזהירה שחולשה קריטית במוצר מנוצלת בפועל בידי תוקפים. לפי BleepingComputer, החולשה מאפשרת לתוקף עם גישת רשת לממשק הניהול לעקוף את האימות באמצעות עוגייה (cookie) שנבנתה במיוחד, ולקבל הרשאות מנהל. משם הדרך להשתלטות על שרתי הווירטואליזציה, ועל כל המכונות הווירטואליות שרצות עליהם, קצרה.
Vates פרסמה גרסאות מתוקנות. לפי הדיווחים, בזמן הפרסום עוד לא הוקצו לחולשה מספר CVE ודירוג חומרה רשמי, מה שעלול לגרום לחלק מהארגונים לפספס אותה בכלים האוטומטיים שעוקבים אחרי חולשות לפי מספרי CVE.
למה זה חשוב דווקא עכשיו? אחרי שברודקום רכשה את VMware והעלתה מחירים בחדות, ארגונים רבים בעולם, כולל בישראל, חיפשו חלופות. XCP-ng ו-Xen Orchestra, פתרונות בקוד פתוח עם תמיכה מסחרית, הם מהחלופות הפופולריות. אבל מעבר מהיר למערכת חדשה לא תמיד מלווה בהקשחה של אותה רמה. ממשק ניהול שחשוף לרשת, ולפעמים לאינטרנט, הוא בדיוק מה שתוקפים מחפשים.
שרתי וירטואליזציה הם מטרה מועדפת במיוחד לכנופיות כופרה: מי ששולט במארח שולט בכל השרתים שעליו, ויכול להצפין עשרות מכונות בבת אחת. בשנים האחרונות ראינו את אותו דפוס במתקפות על VMware ESXi, ועכשיו התוקפים מגיעים גם לחלופות.
מה לעשות? לעדכן מיד את Xen Orchestra לגרסה המתוקנת. לוודא שממשק הניהול לא חשוף לאינטרנט, ובכל מקרה נגיש רק מרשת ניהול מבודדת או דרך VPN. ולבדוק בלוגים אם היו התחברויות חריגות בימים האחרונים. מי שעבר מ-VMware כדי לחסוך כסף צריך לזכור שהחיסכון נמחק ברגע אחד של מתקפת כופרה.
