Przejdź do treści
Centoculus
pl

Alert bezpieczeństwa · Krytyczna

AhsayCBS: wykorzystywana luka w iniekcji poleceń CVE-2026-105134 służy do instalacji backdoora w Pythonie

· 3 minuty czytania · Centoculus Security Team

Znana od · ataki potwierdzone od

Dotyczy: AhsayCBS do wersji 9.15.2.69 oraz 10.x do wersji 10.3.4.44 (poprawki w 9.15.2.70 i 10.3.4.45)

Co się wydarzyło

Dwie luki w AhsayCBS, oprogramowaniu do serwerów kopii zapasowych firmy Ahsay, są znane publicznie od 4 października 2026 roku. Nie są nowe, jednak 14 października 2026 roku CISA dodała obie do swojego katalogu znanych wykorzystywanych podatności. Raporty dotyczące ataków opisują, że luki służą do instalacji backdoora w Pythonie na serwerach. Każdy serwer AhsayCBS, który nie został zaktualizowany od momentu ujawnienia luk, jest narażony.

  • CVE-2026-105134 (CVSS 10): iniekcja poleceń systemu operacyjnego w komponencie Replication Receiver. Atakujący wysyła zmodyfikowany argument random do /rps/api/json/UpdateReceivers.do, a atak można przeprowadzić zdalnie. Istnieje publiczny exploit.
  • CVE-2026-105133 (CVSS 7.3): niewłaściwe uwierzytelnianie w funkcji checkSysPwd interfejsu API (com/ahsay/obs/api/ApiStructsAction.java), również wywoływane przez argument random i również możliwe do wykorzystania zdalnie. Istnieje publiczny exploit.

Zgodnie z wpisami CVE pierwsza poprawka nie usunęła problemu w pełni, dlatego wpisy zostały później zaktualizowane. Wersje naprawione to obecnie 9.15.2.70 oraz 10.3.4.45.

Kogo dotyczy problem

Podatne są instalacje AhsayCBS w jednej z następujących wersji:

  • 9.x do wersji 9.15.2.69 włącznie
  • 10.x do wersji 10.3.4.44 włącznie

Inne produkty nie są dotknięte. Jeśli zainstalowano wczesną poprawkę dla tych CVE, ale nie działa jeszcze wersja 9.15.2.70 lub 10.3.4.45, należy założyć, że serwer nadal jest podatny.

Co należy zrobić teraz

  1. Sprawdź, jaka wersja AhsayCBS jest uruchomiona, w konsoli zarządzania webowego lub w katalogu instalacyjnym.
  2. Wykonaj kopię zapasową konfiguracji AhsayCBS.
  3. Zaktualizuj do wersji 9.15.2.70 (gałąź 9.x) lub 10.3.4.45 (gałąź 10.x) albo nowszej. Linki do pobrania i ewentualne dodatkowe kroki znajdziesz w poniższym ostrzeżeniu Ahsay.
  4. Uruchom ponownie usługę AhsayCBS i upewnij się, że kopie zapasowe oraz replikacja znów działają.
  5. Do czasu instalacji aktualizacji zablokuj dostęp do portów webowych i API AhsayCBS z internetu lub ogranicz go do znanych adresów IP. Szczególnie punkty końcowe replikacji nie powinny być otwarte dla wszystkich.
  6. Serwer mógł zostać zaatakowany przed aktualizacją, dlatego sprawdź go pod kątem śladów kompromitacji, jak opisano poniżej. Jeśli znajdziesz backdoor, traktuj serwer jako przejęty. Odbuduj go z znanego, czystego stanu i zmień wszystkie hasła oraz dane uwierzytelniające API przechowywane na nim lub używane przez niego.

Jak sprawdzić, czy jesteś narażony

  • Wersja: każda wersja poniżej 9.15.2.70 lub 10.3.4.45 jest podatna.
  • Logi webowe i dostępowe: wyszukaj żądania do /rps/api/json/UpdateReceivers.do, zwłaszcza z nieznanych adresów IP lub z nietypową zawartością parametru random. Przeanalizuj aktywność od 4 października 2026 roku.
  • Procesy i pliki: szukaj nieoczekiwanych procesów Pythona, niedawno utworzonych skryptów Pythona lub plików wykonywalnych oraz nowych zadań harmonogramu, zadań cron lub usług na serwerze AhsayCBS.
  • Sieć: sprawdź połączenia wychodzące z serwera do nieznanych hostów.
  • Konta: przejrzyj konta administratorów i użytkowników w AhsayCBS oraz w systemie operacyjnym pod kątem wpisów, których nie utworzyłeś.

CISA nie podaje szczegółów dotyczących ataków. Wskaźniki kompromitacji znajdziesz w poniższych raportach bezpieczeństwa.

Źródła

Więcej źródeł (9)

Powiązane wpisy