Hoppa till innehållet
Centoculus
sv

Säkerhetslarm · Kritisk

AhsayCBS: utnyttad kommandoinjektion CVE-2026-105134 användes för att installera en Python-bakdörr

· 3 minuters läsning · Centoculus Security Team

Känd sedan · attacker bekräftade sedan

Berörda: AhsayCBS upp till 9.15.2.69 och 10.x upp till 10.3.4.44 (åtgärdad i 9.15.2.70 och 10.3.4.45)

Vad som hände

Två sårbarheter i AhsayCBS, programvaran för backupservrar från Ahsay, har varit offentliga sedan 4 oktober 2026. De är inte nya, men CISA lade båda till i sin katalog över kända utnyttjade sårbarheter den 14 oktober 2026. Rapporter om attackerna beskriver att bristerna används för att installera en Python-bakdörr på servrar. Alla AhsayCBS-servrar som inte uppdaterats sedan offentliggörandet är i riskzonen.

  • CVE-2026-105134 (CVSS 10): en OS-kommandoinjektion i komponenten Replication Receiver. Angripare skickar ett manipulerat argument random till /rps/api/json/UpdateReceivers.do, och attacken kan köras på distans. Det finns en publik exploit.
  • CVE-2026-105133 (CVSS 7.3): bristfällig autentisering i funktionen checkSysPwd i API:et (com/ahsay/obs/api/ApiStructsAction.java). Den utlöses också via argumentet random och kan utnyttjas på distans. Det finns en publik exploit.

Enligt CVE-posterna löste den första patchen inte problemet helt, så posterna uppdaterades efteråt. De åtgärdade versionerna anges nu som 9.15.2.70 och 10.3.4.45.

Vem som påverkas

Du påverkas om du kör AhsayCBS i någon av dessa versioner:

  • 9.x upp till och med 9.15.2.69
  • 10.x upp till och med 10.3.4.44

Andra produkter påverkas inte. Om du installerade en tidig patch för dessa CVE:er men ännu inte kör 9.15.2.70 eller 10.3.4.45, bör du anta att din server fortfarande är sårbar.

Vad du bör göra nu

  1. Kontrollera vilken AhsayCBS-version du kör, antingen i webbhanteringskonsolen eller i installationskatalogen.
  2. Säkerhetskopiera din AhsayCBS-konfiguration.
  3. Uppdatera till 9.15.2.70 (9.x-grenen) eller 10.3.4.45 (10.x-grenen) eller senare. Kontrollera Ahsays säkerhetsmeddelande nedan för nedladdningslänkar och eventuella extra steg.
  4. Starta om AhsayCBS-tjänsten och se till att backuper och replikering fungerar igen.
  5. Tills uppdateringen är installerad, blockera åtkomst till AhsayCBS:s webb- och API-portar från internet, eller begränsa den till kända IP-adresser. Replikeringsändpunkter bör särskilt inte vara öppna för alla.
  6. Din server kan ha attackerats innan du uppdaterade, så kontrollera den efter tecken på intrång enligt beskrivningen nedan. Om du hittar en bakdörr bör du betrakta servern som komprometterad. Bygg om den från ett känt rent läge och byt alla lösenord och API-uppgifter som är lagrade på den eller används av den.

Så kontrollerar du om du påverkas

  • Version: alla versioner under 9.15.2.70 eller 10.3.4.45 är sårbara.
  • Webb- och åtkomstloggar: sök efter anrop till /rps/api/json/UpdateReceivers.do, särskilt från okända IP-adresser eller med ovanligt innehåll i parametern random. Titta på aktivitet från och med 4 oktober 2026 i värsta fall.
  • Processer och filer: leta efter oväntade Python-processer, nyligen skapade Python-skript eller körbara filer samt nya schemalagda uppgifter, cron-jobb eller tjänster på AhsayCBS-servern.
  • Nätverk: kontrollera utgående anslutningar från servern till okända värdar.
  • Konton: granska administratörs- och användarkonton i AhsayCBS och i operativsystemet för poster som du inte skapade.

CISA ger inga detaljer om attackerna. För indikatorer på komprometterring, se säkerhetsrapporterna som länkas nedan.

Källor

Fler källor (9)

Relaterade inlägg