베이츠, Xen Orchestra 인증 우회 취약점 긴급 패치 발표

베이츠(Vates)가 11월 10일 보안 권고 VSA-2026-062를 공개하고 Xen Orchestra에 대한 긴급 업데이트를 권고했다고 dailysecu.com이 보도했다. 권고는 이번 인증 우회 취약점을 심각(Critical) 등급으로 평가했다.

취약점은 관리 서버의 로그인 토큰 검증 과정에 존재한다. 공격자가 인증을 우회해 관리자 권한을 얻으면 관리 대상 가상화 환경에서 임의 코드를 실행하고 연결된 XCP-ng 호스트의 루트 권한을 탈취할 수 있다.

영향을 받는 제품은 Xen Orchestra와 Xen Orchestra Appliance(XOA)다. 수정 버전은 stable 채널 6.9.2, latest 채널 6.10.1이다.

노출 차단과 사후 점검 권고

베이츠는 관리 콘솔의 인터넷 노출을 차단하고 전용 관리 네트워크에 격리할 것을 권고했다. 인증 우회는 Xen Orchestra 로그에 흔적을 남기지 않을 수 있어 연결된 XCP-ng 호스트도 함께 점검해야 한다.

침해가 확인되면 백업·스토리지 등 연동 시스템의 자격 증명을 교체하고 시스템을 재설치할 것을 권고했다.