თავდამსხმელები Siemens-ის IoT2050-ის კრიტიკულ ხარვეზს დისტანციური ბრძანებების ბექდორების ჩასანერგად იყენებენ

VulnCheck-მა განაცხადა, რომ აქტიურად ექსპლუატირდება მაქსიმალური სიმძიმის ხარვეზი Siemens-ის SIMATIC IoT2050 Advanced მოწყობილობებში. CVE-2026-58115, CVSS-ის 10,0 ქულით, Node-RED-ის HTTP ინტერფეისში ავთენტიფიკაციის არქონაა და ავთენტიფიკაციის გარეშე მოქმედ დისტანციურ თავდამსხმელს მავნე flow-ების შექმნისა და მაქსიმალური პრივილეგიებით თვითნებური კოდის შესრულების საშუალებას აძლევს. Siemens-ის თქმით, პრობლემა 4.3.4.1 ან უფრო ახალ ვერსიებში გამოსწორდა.

ხარვეზის დეტალები

დაზარალებული სისტემებია SIMATIC IoT2050 Advanced მოწყობილობები, რომლებზეც გაშვებულია Industrial OS და დაყენებულია Node-RED. 2026 წლის აგვისტოში გამოქვეყნებულ ცნობაში Siemens-მა განაცხადა, რომ ხარვეზი შესაძლოა ავთენტიფიკაციის გარეშე მოქმედ დისტანციურ თავდამსხმელს სისტემის სერვერზე მაქსიმალური პრივილეგიებით თვითნებური კოდის შესრულების საშუალებას აძლევდეს. შემარბილებელ ზომებად Siemens გვირჩევს Node-RED-ის დეინსტალაციას ან ინსტალაციის გამაგრებას: HTTPS წვდომის ჩართვას, რედაქტორისა და admin API-ის დაცვას მომხმარებლის მონაცემებზე დაფუძნებული ავთენტიფიკაციით ან OAuth/OpenID პროვაიდერით, HTTP Nodes-ისა და Node-RED Dashboard-ის დაცვას Basic ავთენტიფიკაციით.

დაფიქსირებული ექსპლუატაცია

2026 წლის 30 ოქტომბრის მდგომარეობით VulnCheck-ის თქმით, თავდამსხმელები CVE-2026-58115-ის გამოყენებას ცდილობდნენ მისი honeypot-ქსელის წინააღმდეგ Linux-ის ბოტის ჩამოსატვირთად და გასაშვებად. მკვლევარმა Patrick Garrity-მ თქვა, რომ თავდამსხმელის მოთხოვნა სრული ექსპლოიტი იყო, რომელმაც Node-RED flow განათავსა, ავტომატურად გაააქტიურა ის და სამი დონის კოდირების მიღმა არსებული თავდამსხმელის მიერ კონტროლირებადი სერვერიდან ბინარული ფაილი ჩამოიტანა. მავნე flow აშვებს shell script-ის wrapper-ს, რომელიც wget-ით AMD64-ის ბოტნეტის ბინარულ ფაილს 85.215.73[.]250-დან იღებს, ხოლო wget-ის წარუმატებლობისას curl-ს იყენებს. ფაილი ინახება /dev/shm/.b სახელით და სრულდება.

მოგვიანებით თავდამსხმელები ორსაფეხურიან პროცესზე გადავიდნენ: wget იმავე სერვერიდან wget.sh სახელწოდების სხვა shell script-ს იღებს. აღმოჩენილია კიდევ ერთი მოთხოვნა, რომელიც 45.194.90[.]57:38472-ს wget-ით ან curl-ით მიმართავდა .sys_update სახელწოდების payload-ის ჩამოსატვირთად, /tmp/.kworker სახელით შესანახად, უვნებელ kernel worker thread-ად შესანიღბად და შემდეგ გასაშვებად. wget.sh-ისა და .kworker-ის ზუსტი ფუნქციონალი უცნობია, რადგან მათი ჩამოტვირთვა ვერ მოხერხდა.

ზოგიერთ შემთხვევაში downloader საერთოდ არ იყო განთავსებული. სამაგიეროდ, flow ხსნის HTTP in endpoint-ს, მაგალითად /cmd-ს ან შემთხვევითი სახელის ბილიკს, რომელიც function node-ის გავლით უკავშირდება exec node-ს, სადაც addpay ჩართულია; ასე თავდამსხმელს მოგვიანებით query parameter-ში გადაცემული თვითნებური ბრძანებების შესრულება შეუძლია. ეს backdoor გადარჩება მაშინაც კი, თუ reboot-ის დროს მეხსიერებაში მყოფი implant დაიკარგება.

წყაროები: The Hacker News