Список доверенных удостоверяющих центров внутри Citrix XenServer включает центр, промежуточные сертификаты которого подписаны слабыми ключами. Уязвимость позволяет подделать TLS-сертификат, то есть сертификат для защиты соединения, и выдать чужой узел за доверенный сервер каталога по протоколу LDAPS (обращение к службе каталога по защищённому каналу). Затронуты ветки XenServer 8.4 и XenServer 9, причём только развёртывания, где LDAPS включён.
CVE-2026-114406 в списке доверенных центров XenServer
Поддержку LDAPS в XenServer добавили в июле 2026 года. Она нужна, чтобы хост проверял пользователей через службу каталога по защищённому каналу. При подключении хост сверяет сертификат сервера каталога со своим хранилищем доверенных центров. Слабый ключ промежуточного центра позволяет выпустить сертификат на произвольное имя, и проверку он пройдёт.
Слабым считают ключ, который реально подобрать перебором. Сертификат, выпущенный от имени такого центра, хост принимает без дополнительных вопросов. Атакующему достаточно находиться в сети управления, через которую администраторы обслуживают хосты. Так он выдаёт свой сервер за доверенный узел каталога и получает доступ, который обычно требует отдельной авторизации. Название центра приводит запись CVE - eMudhra.
Оценка в записи об уязвимости, подготовленной Red Hat, - 6.8 из 10. Citrix в своём бюллетене ограничивается уровнем High. Атака идёт по сети, однако из интернета такой сервер не подделать, нужен доступ в сеть управления. Нужны ли учётные данные и участие пользователя, Citrix не уточняет. Запись CVE добавляет условия: учётные данные не требуются, участие пользователя нужно, сложность атаки высокая.
Сведений об эксплуатации в реальных атаках нет. Бюллетень Citrix опубликован 23 октября 2026 года, запись CVE - 21 октября. Публикация деталей означает, что они доступны, а не что уязвимость уже используют.
Обновления для XenServer 8.4 и XenServer 9
Citrix выложила исправления в каналы Early Access и Normal для обеих веток. Канал Normal получает обычный поток обновлений, Early Access - с опережением. В бюллетене нет номера исправленной сборки. Актуальную версию и порядок обновления ищут в инструкциях по адресам https://docs.xenserver.com/us/en/xenserver/8/update.html и https://docs.xenserver.com/us/en/xenserver/9/update.html. Обходных мер Citrix не предлагает, поэтому остаётся обновление и отслеживание бюллетеня CTX697257. Хосты без LDAPS под условие бюллетеня не попадают.
Пакеты ca-certificates в Red Hat Enterprise Linux
Red Hat описывает ту же ошибку со стороны пакета ca-certificates, то есть набора корневых сертификатов, которым система доверяет при проверке TLS. Промежуточный сертификат выпускает центр, сам подписанный корневым сертификатом. Атакующий по схеме "человек посередине" может выпустить сертификаты на произвольные имена узлов, и клиенты с таким хранилищем пойдут на подставные сайты. Убрать отдельные промежуточные сертификаты во всех клиентах нельзя, поэтому из хранилища удаляют корневые сертификаты центров, которые подписывали слабые промежуточные.
Исправленные пакеты ca-certificates версии 2026.2.92_v9.0.319 вышли для поддерживаемых выпусков Red Hat Enterprise Linux и производных образов. Суффикс в номере версии указывает на конкретный выпуск, поэтому сверять нужно полное имя пакета. По части продуктов запись говорит, что затронуты все версии, а исправления нет. Red Hat Satellite 6 запись относит к не затронутым. Установленную версию пакета проверяют штатным менеджером пакетов дистрибутива.
Администраторам XenServer достаточно проверить, включён ли LDAPS на хостах. Пока обновление не установлено, хост доверяет центру со слабыми ключами. Значит, проверка сервера каталога подлинность узла не подтверждает.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-114406
- https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697257
