Հարձակվողները շահագործում են Node-RED-ի առավելագույն ծանրության խոցելիությունը՝ Linux bot տեղադրելու համար

Անհայտ հանցագործները շահագործում են Node-RED-ի առավելագույն ծանրության խոցելիությունը՝ հոսքային ծրագրավորման գործիք, որը կիրառվում է արդյունաբերական կառավարման և օպերատիվ տեխնոլոգիաների միջավայրերում, որպեսզի տեղադրեն հոսք, որը ներբեռնում և գործարկում է Linux bot։ VulnCheck-ի հետազոտողները փաստագրել են CVE-2026-58115-ի շահագործումը՝ սկսած անցյալ ուրբաթից, իսկ Siemens-ը նույնացուցիչը շնորհել է օգոստոսին՝ կատարյալ 10-ից 10 CVSS գնահատականով։

Ինչպես է խոցելիությունը զինվում

Node-RED-ը կառուցված է Node.js-ի վրա և կիրառվում է առևտրային արտադրանքներում, այդ թվում՝ Siemens SIMATIC IoT2050-ում։ Տուժած Siemens սարքերը Node-RED HTTP ինտերֆեյսում չեն կիրառում նույնականացում, ինչը թույլ է տալիս առանց նույնականացման մուտք գործել ծրագրավորման հանգույցներ, որոնք կարող են կատարել համակարգային հրամաններ։ Երկու ներկառուցված հանգույց խոցելիությունը դարձնում են հեշտ զինելի՝ inject հանգույցը, որը հաղորդագրություն է ուղարկում ժամանակացույցով կամ մեկ անգամ մեկնարկի ժամանակ, և exec հանգույցը, որը կարող է գործարկել shell հրամաններ։ Դրանք միմյանց միացնելը թույլ է տալիս հոսքին կատարել հրաման անմիջապես տեղադրվելուց հետո՝ առանց հետագա փոխազդեցության։

Ինչ են նկատել հետազոտողները

Գործունեությունը գալիս էր Microsoft-ի AS8075 ցանցի մեկ IP հասցեից՝ 4.201.105.116, որը գտնվում է Բրազիլիայում։ Այն մեկ POST /flows հարցմամբ ուղարկել է ամբողջական exploit-ը, հոսքը և dropper-ը։ 2026 թվականի հոկտեմբերի 30-ից նոյեմբերի 1-ը նույն IP-ն 16 անգամ թիրախավորել է Node-RED-ի խոցելիությունը և VulnCheck-ի ավելի լայն canary ցանցում գրանցել 125 հարված՝ ութ տարբեր CVE-ի դեմ։

Թիրախների թվում էր յոթ տարվա վաղեմության Apache Solr խոցելիությունը՝ CVE-2019-17558, որը ազդում է Camunda-ի, Gitea-ի, MLflow-ի, Traefik-ի և Joomla-ի վրա, ինչպես նաև Node-RED-ի։ Մեկ հարված փոխանցել է այլ օգտակար բեռ, որը մատնանշում էր առանձին սերվեր՝ 85.215.73.250։ Քանի որ ներբեռնման սերվերը տարբերվում է շահագործումն ուղարկած սերվերից, VulnCheck-ը նկարագրել է հավանական scan-and-infect կազմակերպում, որտեղ սերվերները գտնում և շահագործում են խոցելի օրինակները, իսկ implant-ը քաշում են առանձին նվիրված սերվերից։

Չարամիտ ծրագիր և արձագանք

Հետազոտողները չեն վերականգնել բինար կամ փուլային սկրիպտներ, և նրանք չեն ներբեռնել bot-ի բինարը, ուստի չեն կարող ասել, թե ինչ է անում այն գործարկվելուց հետո։ Նրա ֆայլի անունը՝ bot-linux-amd64, ցույց է տալիս, որ այն թիրախավորում է Linux՝ AMD64 պրոցեսորներով, և ենթադրում է, որ օպերատորը կարող է ունենալ այլ տարբերակներ։ Garrity-ն խորհուրդ է տվել Node-RED գործարկող բոլորին, այդ թվում՝ OT միջավայրերում, ստուգել՝ արդյոք այն հասանելի է ցանցից դուրս, կիրառել թարմացումներ առկայության դեպքում և ներդնել հայտնաբերման միջոցներ։ Խոցելիությունն ավելացվել է VulnCheck-ի Known Exploited Vulnerabilities կատալոգում, սակայն մամուլի պահին չէր հայտնվել CISA-ի KEV կատալոգում։

Աղբյուրներ՝ The Register