Gå til indholdet
Centoculus
da

Sikkerhedsadvarsel · Kritisk

AhsayCBS: angrebet command injection CVE-2026-105134 brugt til at installere Python-bagdør

· 3 minutters læsning · Centoculus Security Team

Kendt siden · angreb bekræftet siden

Berørt: AhsayCBS op til 9.15.2.69 og 10.x op til 10.3.4.44 (rettet i 9.15.2.70 og 10.3.4.45)

Hvad skete der

To sårbarheder i AhsayCBS, backup-serversoftwaren fra Ahsay, har været offentlige siden 4. oktober 2026. De er ikke nye, men CISA tilføjede begge til sin katalog over kendte udnyttede sårbarheder den 14. oktober 2026. Rapporter om angrebene beskriver, at fejlene bruges til at installere en Python-bagdør på servere. Enhver AhsayCBS-server, der ikke er opdateret siden offentliggørelsen, er i fare.

  • CVE-2026-105134 (CVSS 10): en OS command injection i komponenten Replication Receiver. Angribere sender et manipuleret random-argument til /rps/api/json/UpdateReceivers.do, og angrebet kan køres fjernt. Der findes et offentligt exploit.
  • CVE-2026-105133 (CVSS 7.3): usikker autentifikation i funktionen checkSysPwd i API'et (com/ahsay/obs/api/ApiStructsAction.java), også udløst via random-argumentet og også fjernt udnyttelig. Der findes et offentligt exploit.

Ifølge CVE-posterne rettede den første patch ikke problemet fuldt ud, og posterne er derfor blevet opdateret efterfølgende. De rettede versioner angives nu som 9.15.2.70 og 10.3.4.45.

Hvem er berørt

Du er berørt, hvis du kører AhsayCBS i en af disse versioner:

  • 9.x op til og med 9.15.2.69
  • 10.x op til og med 10.3.4.44

Andre produkter er ikke berørt. Hvis du har installeret en tidlig patch til disse CVE'er, men endnu ikke er på 9.15.2.70 eller 10.3.4.45, skal du regne med, at din server stadig er sårbar.

Hvad du skal gøre nu

  1. Kontrollér hvilken AhsayCBS-version du kører, enten i webadministrationskonsollen eller i installationsmappen.
  2. Tag en backup af din AhsayCBS-konfiguration.
  3. Opdatér til 9.15.2.70 (9.x-grenen) eller 10.3.4.45 (10.x-grenen) eller nyere. Tjek Ahsays advisory nedenfor for downloadlinks og eventuelle ekstra trin.
  4. Genstart AhsayCBS-tjenesten, og sørg for, at backups og replikering fungerer igen.
  5. Indtil opdateringen er installeret, bloker adgangen til AhsayCBS' web- og API-porte fra internettet, eller begræns den til kendte IP-adresser. Replikeringsendpoints bør især ikke være åbne for alle.
  6. Din server kan være blevet angrebet, før du opdaterede, så kontrollér den for tegn på kompromittering som beskrevet nedenfor. Finder du en bagdør, skal du betragte serveren som kompromitteret. Genopbyg den fra en kendt ren tilstand, og skift alle adgangskoder og API-legitimationsoplysninger, der er gemt på eller bruges af serveren.

Sådan tjekker du, om du er berørt

  • Version: enhver version under 9.15.2.70 eller 10.3.4.45 er sårbar.
  • Web- og adgangslogs: søg efter anmodninger til /rps/api/json/UpdateReceivers.do, især fra ukendte IP-adresser eller med usædvanligt indhold i random-parameteren. Kig mindst på aktivitet siden 4. oktober 2026.
  • Processer og filer: se efter uventede Python-processer, nyligt oprettede Python-scripts eller programfiler samt nye planlagte opgaver, cron-jobs eller tjenester på AhsayCBS-serveren.
  • Netværk: kontrollér for udgående forbindelser fra serveren til ukendte værter.
  • Konti: gennemgå administrator- og brugerkonti i AhsayCBS og på operativsystemet for poster, du ikke selv har oprettet.

CISA giver ikke detaljer om angrebene. For indikatorer for kompromittering, se sikkerhedsrapporterne linket nedenfor.

Kilder

Flere kilder (9)

Relaterede indlæg