CISA-ն KEV կատալոգում ավելացրել է ակտիվորեն շահագործվող UnrealIRCd խոցելիությունը

CISA-ն ուրբաթ օրը UnrealIRCd բաց կոդով IRC սերվերում բարձր լրջության խոցելիություն ավելացրել է իր հայտնի շահագործված խոցելիությունների կատալոգում՝ ակտիվ շահագործման հաղորդումներից հետո։ CVE-2026-114713 խոցելիությունը CVSS 8.6 միավոր ունի և կարող է թույլ տալ կամայական հրամանների կատարում սերվերի կամ IRCOp արտոնություններով։ Քաղաքացիական գործադիր ճյուղի դաշնային գործակալությունները պետք է շտկումները կիրառեն մինչև 2026 թվականի նոյեմբերի 16-ը՝ Binding Operational Directive 26-04-ի համաձայն։

Ինչ է թույլ տալիս խոցելիությունը

Խոցելիությունը նկարագրվում է որպես բաժանիչների ոչ պատշաճ չեզոքացում։ NIST ազգային խոցելիությունների տվյալների բազայի նկարագրության համաձայն՝ UnrealIRCd-ի 6.0.0-ից մինչև 6.2.7.1-ի թողարկումն ընկած տարբերակների labeled-response մոդուլը IRCv3 «label» հաղորդագրության պիտակը չի էկրանավորում, երբ այն արձագանքներում է արտացոլում։ Սա թույլ է տալիս ցանցում երկու կամ ավելի կապված սերվերներ ունեցող ցանկացած օգտատիրոջ ներարկել սերվերից սերվեր հրամաններ, որոնք կատարվում են սերվերի լիազորությամբ։

Շահագործում և պահպանողի արձագանքը

UnrealIRCd նախագծի ղեկավար, մշակող և պահպանող Բրամ Մատիսը, որը հայտնի է նաև որպես Syzop, թողարկել է UnrealIRCd 6.2.7.1-ը՝ արհեստական բանականության օգնությամբ հայտնաբերված բազմաթիվ անվտանգության խոցելիությունները, այդ թվում CVE-2026-114713-ը, շտկելու համար։ CISA կողմից կատալոգում ավելացումը կատարվել է այդ թողարկումից գրեթե մեկ շաբաթ անց։ Մատիսը ասել է. «Մենք հիմա ինտերնետում տեսնում ենք, որ վատ խաղացողները շահագործում են այս խնդիրը», և կոչ է արել օգտատերերին որքան հնարավոր է շուտ թարմացնել կամ hot-patch անել իրենց սերվերները, կամ գոնե տեղակայել spamfilter շրջանցումը։

Շահագործման փորձերը սկսվել են 2026 թվականի նոյեմբերի 7-ին hotfix-ի թողարկումից մեկ օր անց։ Վնասակար գործունեության ճշգրիտ մանրամասները և դրա վերջնական նպատակները ներկայումս անհայտ են։ Մատիսը խոցելիությունը նկարագրել է որպես վերջին 15 տարում UnrealIRCd-ում հայտնաբերված «ամենակրիտիկական խնդիրը»։

Ժամկետ դաշնային գործակալությունների համար

Քաղաքացիական գործադիր ճյուղի դաշնային գործակալությունները ժամանակ ունեն մինչև 2026 թվականի նոյեմբերի 16-ը՝ շտկումները կիրառելու համար՝ Binding Operational Directive (BOD) 26-04՝ Prioritizing Security Updates Based on Risk-ի համաձայն։

Աղբյուրներ՝ The Hacker News