თავდამსხმელები იყენებენ Node-RED-ის მაქსიმალური სიმძიმის ხარვეზს Linux-ბოტის გასაშვებად

უცნობი დამნაშავეები იყენებენ Node-RED-ის მაქსიმალური სიმძიმის ხარვეზს, რათა განათავსონ ნაკადი, რომელიც Linux-ბოტს ჩამოტვირთავს და გაუშვებს. Node-RED ნაკადებზე დაფუძნებული პროგრამირების ინსტრუმენტია და გამოიყენება სამრეწველო კონტროლისა და ოპერაციული ტექნოლოგიების გარემოში. VulnCheck-ის მკვლევარებმა CVE-2026-58115-ის ექსპლუატაცია გასულ პარასკევს დაიწყეს დაფიქსირება, ხოლო Siemens-მა აგვისტოში ხარვეზს იდენტიფიკატორი მიანიჭა და CVSS-ის მაქსიმალური შეფასება, 10-დან 10 ქულა, მისცა.

როგორ აქცევენ ხარვეზს იარაღად

Node-RED Node.js-ზეა აგებული და გამოიყენება კომერციულ პროდუქტებში, მათ შორის Siemens SIMATIC IoT2050-ში. Siemens-ის დაზარალებულ მოწყობილობებზე Node-RED-ის HTTP ინტერფეისი ავთენტიფიკაციას არ ითხოვს, რაც ავთენტიფიკაციის გარეშე წვდომას იძლევა პროგრამირების კვანძებზე, რომლებსაც სისტემური ბრძანებების შესრულება შეუძლიათ. ორი ჩაშენებული კვანძი ხარვეზის იარაღად გადაქცევას ძალიან აადვილებს: inject კვანძი, რომელიც შეტყობინებას განრიგის მიხედვით ან გაშვებისას ერთხელ აგზავნის, და exec კვანძი, რომელსაც shell-ბრძანებების შესრულება შეუძლია. ამ ორი კვანძის დაკავშირება ნაკადს საშუალებას აძლევს, გაშვებისთანავე შეასრულოს ბრძანება, დამატებითი ურთიერთქმედების გარეშე.

რა დააფიქსირეს მკვლევარებმა

აქტივობა მოდიოდა ერთი IP-მისამართიდან, 4.201.105.116, რომელიც Microsoft-ის AS8075 ქსელშია და გეოლოკაციით ბრაზილიაში მდებარეობს. ამ მისამართმა სრული ექსპლოიტი, ნაკადი და dropper ერთი POST /flows მოთხოვნით გაგზავნა. 2026 წლის 30 ოქტომბრიდან 1 ნოემბრამდე იმავე IP-მ 16-ჯერ მიზანში აიღო Node-RED-ის ხარვეზი და VulnCheck-ის უფრო ფართო canary ქსელში რვა სხვადასხვა CVE-ზე 125 შემთხვევა დააფიქსირა.

სამიზნეებს შორის იყო შვიდი წლის წინანდელი Apache Solr-ის ხარვეზი CVE-2019-17558, რომელიც Camunda-ს, Gitea-ს, MLflow-ს, Traefik-სა და Joomla-ს ეხება. ამავე შეტევების სამიზნე იყო Node-RED-იც. ერთი შემთხვევის დროს გაიგზავნა სხვა payload, რომელიც ცალკე სერვერზე, 85.215.73.250 მისამართზე მიუთითებს. რადგან ჩამოტვირთვის ჰოსტი განსხვავდება ექსპლოიტის გამომგზავნი ჰოსტისგან, VulnCheck-მა აღწერა სავარაუდო სკანირებისა და ინფიცირების სქემა, რომლის დროსაც ჰოსტები ეძებენ და ექსპლუატირებენ დაუცველ ინსტანციებს, შემდეგ კი იმპლანტს ცალკე გამოყოფილი სერვერიდან ჩამოტვირთავენ.

მავნე პროგრამა და რეაგირება

მკვლევარებმა ვერ მოიპოვეს ბინარული ფაილი ან მომზადებული სკრიპტები და ვერ ჩამოტვირთეს ბოტის ბინარული ფაილიც, ამიტომ ვერ ამბობენ, გაშვების შემდეგ რას აკეთებს ის. მისი ფაილის სახელი, bot-linux-amd64, მიუთითებს, რომ ის AMD64 პროცესორებზე მომუშავე Linux-ზეა გათვლილი და ვარაუდობს, რომ ოპერატორს სხვა build-ებიც შეიძლება ჰქონდეს. VulnCheck-ის მკვლევარმა პატრიკ გარიტიმ ურჩია ყველას, ვინც Node-RED-ს იყენებს, მათ შორის OT გარემოშიც, შეამოწმოს, მისაწვდომია თუ არა ის ქსელის გარედან, განაახლოს, სადაც შესაძლებელია, და დანერგოს დეტექციები. ხარვეზი დაემატა VulnCheck-ის ცნობილი ექსპლუატირებული ხარვეზების კატალოგს, თუმცა მასალის გამოქვეყნების დროისთვის CISA-ის KEV კატალოგში ჯერ არ ფიგურირებდა.

წყაროები: The Register