Vates publie un correctif d'urgence pour Xen Orchestra
L'avis VSA-2026-062 classe la faille de contournement d'authentification comme critique ; les versions 6.9.2 et 6.10.1 sont disponibles.
Vates a publié le 10 novembre l'avis de sécurité VSA-2026-062 et appelé à une mise à jour d'urgence de Xen Orchestra, son outil de gestion de virtualisation, selon dailysecu.com. L'avis classe comme critique la vulnérabilité de contournement d'authentification et indique que des versions corrigées sont disponibles : 6.9.2 sur le canal stable et 6.10.1 sur le canal latest.
La faille se situe dans la vérification des jetons de connexion sur le serveur de gestion. Un attaquant qui contourne l'authentification pour obtenir des droits d'administrateur peut exécuter du code arbitraire dans l'environnement de virtualisation géré et prendre le contrôle root des hôtes XCP-ng connectés.
Xen Orchestra et Xen Orchestra Appliance (XOA) sont concernés. Vates recommande de bloquer l'exposition internet de la console de gestion et de l'isoler sur un réseau de gestion dédié.
Vérifier aussi les hôtes XCP-ng
Un contournement d'authentification peut ne laisser aucune trace dans les journaux de Xen Orchestra : l'éditeur conseille donc de contrôler également les hôtes XCP-ng connectés. En cas de compromission confirmée, Vates préconise de changer les identifiants des systèmes liés, notamment les sauvegardes et le stockage, et de réinstaller le système.
En bref
Quelles versions de Xen Orchestra corrigent la faille ?
Les versions 6.9.2 sur le canal stable et 6.10.1 sur le canal latest.
Quels produits sont concernés par l'avis VSA-2026-062 ?
Xen Orchestra et Xen Orchestra Appliance (XOA).
Que faire en cas de compromission confirmée ?
Vates recommande de changer les identifiants des systèmes liés comme les sauvegardes et le stockage, et de réinstaller le système.