"Таким образом, используя этот апплет, злоумышленник может «угнать» ваше облако XenServer!"
Что имеется ввиду под "угнать"? Пользователь, имеющий доступ к одной своей виртуалке, может получить доступ к другим своим виртуалкам — это разве называется "угнать"?
А так довольно интересное задание, да.
Как я понимаю, здесь скорее имеется ввиду такая мысль. Если вы владелец инфраструктурного облака (IaaS) и дали одному из своих пользователей доступ таким образом к одной виртуалке, то он сможет получить доступ ко всем вашим остальным виртуалкам.
Получаем доступ к облаку XenServer через доступ к одной виртуальной машине