Злоумышленники используют уязвимость в системе Collabora для установки веб-шеллов на серверы Nextcloud. Также под атаку попала система Arista VeloCloud.
Злоумышленники используют уязвимости в системах Arista VeloCloud Orchestrator и встроенном сервере Collabora Online для платформы Nextcloud. Обновленное программное обеспечение, устраняющее эти уязвимости, уже доступно, и администраторам ИТ-систем следует как можно скорее его установить.
Американское агентство по кибербезопасности CISA предупреждает об участившихся кибератаках. В своем уведомлении о безопасности CISA сообщает, что уязвимость типа SQL-инъекции в программном обеспечении Arista VeloCloud Orchestrator (VCO) для локальной установки уже активно эксплуатируется в интернете. Согласно описанию уязвимости, злоумышленники могут получить несанкционированный доступ к привилегированным внутренним функциям извне сети, что позволяет им манипулировать VCO. Авторизованные пользователи могут использовать эту уязвимость, чтобы выдавать себя за "суперпользователя", получая таким образом доступ к функциям, которые изначально должны быть недоступны из интернета (CVE-2026-114625, CVSS4 9.4, уровень риска – "критический").
Неясно, как именно будут осуществляться атаки и в каком масштабе. Однако компания Arista в своем сообщении о безопасности указывает, что версии VCO 5.2.3.18, 6.1.3.10 и 6.4.2.12 были исправлены. По умолчанию, VCO доступна в сети, и, следовательно, не существует конфигурации, которая бы уменьшила масштаб уязвимости. До установки обновлений рекомендуется ограничить доступ к системе, например, с помощью брандмауэров и VPN, только для доверенных устройств. Arista уже самостоятельно обеспечила безопасность размещенных экземпляров VCO. Компания также предоставила некоторые признаки возможных атак (Indicators of Compromise, IOC), которые администраторы могут использовать для проверки, была ли их система скомпрометирована. К ним относятся IP-адреса атакующих: 74.82.197.86 и 38.54.50.151, которые администраторам следует заблокировать и искать в своих журналах.
Атаки, связанные с уязвимостью в системе Collabora.
Во втором предупреждении об информационной безопасности CISA предостерегает от атак на встроенный сервер Collabora Online CODE. Злоумышленники могут внедрять команды в операционную систему без предварительной аутентификации, и эти команды выполняются от имени учетной записи веб-сервера. Уязвимость связана с кодом в файле "proxy.php". Согласно описанию уязвимости, атаки возможны только в том случае, если встроенный сервер CODE не работает, например, при перезагрузке контейнера, обновлении или после сбоя (CVE-2026-110447, CVSS4 9.2, уровень риска "критический"). Разработчики сообщают, что отключение приложения в Nextcloud не защищает от этой уязвимости; для ее устранения необходимо обновить приложение до версии 26.4.303 или более новой. Автономные серверы Collabora не подвержены этой проблеме. Пользователям, использующим неподдерживаемые версии Nextcloud (до версии 29 включительно), рекомендуется обновить Nextcloud или удалить приложение – исправленная версия приложения требует использования Nextcloud 30 или более поздней версии.
В системе отслеживания проблем (issue tracker) Collabora Online первые сообщения о проблемах датируются 11 сентября этого года. Пользователи сообщают, что вредоносные программы (webshells) были установлены на их серверах Nextcloud с использованием компонента "richdocumentscode". Таким образом, атаки продолжаются как минимум с этой даты. Администраторы, установившие приложение Collabora, должны проверить свои системы на наличие признаков взлома и установить обновление, если оно еще не было установлено.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале