Một khoảng trống trong bằng chứng điều tra
Không tìm thấy bản ghi truy cập trái phép thường là một dữ kiện để đội ứng cứu cân nhắc. Với lỗ hổng Xen Orchestra đang bị khai thác, dữ kiện ấy có giới hạn rất cụ thể: theo SecurityWeek dẫn cảnh báo của Vates, truy cập trái phép không được ghi nhật ký.
Điều này không chứng minh một hệ thống đã bị xâm nhập. Nhưng nó khiến việc dùng nhật ký truy cập làm căn cứ duy nhất để kết luận hệ thống an toàn trở nên thiếu cơ sở. Vates còn lưu ý rằng các chỉ dấu xâm nhập được chia sẻ chỉ gắn với chiến dịch đã quan sát. Không tìm thấy những chỉ dấu đó cũng chưa đủ để loại trừ mọi khả năng xâm nhập.
Theo nhận định của TMGS, đây là chi tiết đáng quan tâm nhất của vụ việc: đội vận hành vừa phải xử lý lỗ hổng, vừa phải đánh giá tình trạng hệ thống trong điều kiện một nguồn bằng chứng quan trọng bị thiếu.
Quyền quản trị có thể mở đường xuống node XCP-ng
Vates cảnh báo một tác nhân đe dọa đang khai thác lỗ hổng bỏ qua xác thực nghiêm trọng cùng một lỗ hổng zero-day trong Xen Orchestra. Lỗi xác thực làm lộ các ID token đăng nhập có thể tái sử dụng, cho phép kẻ tấn công chưa xác thực giành quyền quản trị.
Phạm vi hậu quả có thể vượt khỏi ứng dụng quản lý. Theo Vates, việc Xen Orchestra bị xâm nhập có thể dẫn đến thực thi mã tùy ý trên các pool được quản lý và chiếm toàn quyền nút XCP-ng với quyền root. Đây là khả năng được nhà cung cấp cảnh báo, không phải bằng chứng rằng mọi hệ thống bị ảnh hưởng đều đã chịu hậu quả đó.
Lỗi xác thực ảnh hưởng các bản Xen Orchestra trước 6.9.2 ở nhánh stable và trước 6.10.1 ở nhánh latest, cùng Xen Orchestra Appliance có chứa phần mềm này. Trong khi đó, lỗ hổng zero-day cho phép nhập máy ảo độc hại, có thể xâm phạm máy chủ XCP-ng; bản sửa lỗi vẫn đang được phát triển theo thông tin trong bài nguồn.
Vì vậy, cập nhật lên phiên bản sửa lỗi xác thực và xử lý rủi ro từ zero-day là hai phần việc cần được theo dõi riêng. Bài nguồn cũng cho biết các lỗi chưa được gán mã CVE; việc thiếu mã định danh không làm mất đi cảnh báo khai thác đã được Vates đưa ra.
Quyết định xử lý cập nhật
TMGS đề xuất ba ưu tiên phòng thủ cho doanh nghiệp đang sử dụng Xen Orchestra:
- Thu hẹp đường vào hệ thống quản trị. Kiểm kê phiên bản, cập nhật nhánh đang sử dụng lên bản sửa lỗi xác thực tương ứng và giới hạn truy cập Xen Orchestra trong mạng quản trị riêng. Tiếp tục theo dõi bản sửa cho zero-day đang được phát triển.
- Đánh giá xâm nhập bằng nhiều nguồn bằng chứng. Đối chiếu các chỉ dấu đã công bố với những nguồn nhật ký sẵn có từ hạ tầng mạng và máy chủ. Ghi rõ giới hạn của kết quả rà soát, đặc biệt khi không tìm thấy dấu vết. Luân chuyển thông tin đăng nhập có khả năng đã bị lộ.
- Chuẩn bị phương án khôi phục khi xác nhận xâm nhập. TMGS khuyến nghị cài đặt lại toàn bộ trong trường hợp này, phù hợp với cảnh báo của Vates rằng chỉ dọn dẹp không thể bảo đảm loại bỏ mọi cửa hậu. Kế hoạch ứng cứu cần tính đến khả năng ảnh hưởng các pool và nút XCP-ng được quản lý.
Với doanh nghiệp Việt Nam thuê đối tác vận hành hạ tầng, TMGS đề xuất chỉ định một đầu mối nội bộ theo dõi xuyên suốt việc cập nhật, rà soát và luân chuyển thông tin đăng nhập. Yêu cầu đối tác bàn giao phiên bản sau cập nhật, phạm vi đã kiểm tra và những phần chưa thể kết luận. Một xác nhận “đã vá” chỉ trả lời tình trạng phần mềm; doanh nghiệp vẫn cần câu trả lời riêng về khả năng hệ thống đã bị xâm nhập.
Nguồn tham khảo
SecurityWeek: Critical Xen Orchestra Flaws Exploited in Attacks
