CVE-2026-103056
KrytyczneCVSS 9.0Streszczenie
AiSOC w wersjach od 7.2.0 do 12.0.0 zawiera lukę wstrzyknięcia poleceń w usłudze actions, która buduje ciągi poleceń CrowdStrike Real Time Response poprzez interpolację nieescapowanych parametrów akcji w plikach crowdstrike_rtr.py i endpoint.py. Uwierzytelniony użytkownik może wstrzyknąć apostrofy w parametry file_path, path, script_name lub script_args, aby wyłamać się z cytowanych argumentów i wykonać dowolne polecenia na zarządzanych endpointach z uprawnieniami SYSTEM lub root.
Ocena ryzyka
Uwierzytelniony użytkownik może wykonać dowolne polecenia z uprawnieniami SYSTEM/root na zarządzanych endpointach, co prowadzi do pełnego przejęcia tych systemów.
Rekomendacja
Zaktualizuj AiSOC do wersji 12.0.0 lub nowszej i przejrzyj logi akcji CrowdStrike RTR pod kątem podejrzanych parametrów.
Inne podatności w AiSOC
Zobacz wszystkie- CVE-2026-103057Średnie
W AiSOC w wersjach od 5.1.0 do przed 12.0.0 wykryto podatność obejścia uwierzytelnienia w wewnętrznych punktach końcowych usługi realtime: POST /internal/agent-event i POST /internal/push. Atakujący mogą publikować dowolne zdarzenia ze sfałszowanymi identyfikatorami dzierżawców, aby rozgłaszać złośliwe treści przez kanały WebSocket i Redis SSE lub wysyłać nieautoryzowane powiadomienia do zarejestrowanych urządzeń.
- CVE-2026-103055Wysokie
AiSOC w wersjach od 7.5.0 przed 12.0.0 używa stałej zakodowanej na sztywno do weryfikacji JWT w usłudze realtime WebSocket i SSE, gdy zmienna środowiskowa AISOC_REALTIME_JWT_SECRET nie jest ustawiona. Nieuwierzytelnieni atakujący mogą sfałszować bilety subskrypcji z dowolnymi identyfikatorami dzierżawców, aby uzyskać dostęp do alertów na żywo, spraw, zdarzeń agentów i aktualizacji grafów między dzierżawcami poprzez punkty końcowe realtime.
- CVE-2026-103054Wysokie
AiSOC w wersjach przed 12.0.0 zawiera podatność obejścia autoryzacji w module MSSP, która pozwala uwierzytelnionym użytkownikom dodawać dowolnych dzierżawców do posiadanych portfeli. Atakujący mogą przesyłać identyfikatory UUID dzierżawców poprzez endpoint add_tenants_to_portfolio, aby przejąć nieprzypisanych dzierżawców i odczytać ich alerty bezpieczeństwa, incydenty i metryki postawy bez zgody.
- CVE-2026-103053Średnie
W AiSOC w wersjach od 9.0.0 do przed 12.0.0 nie wymuszono uwierzytelnienia na punktach końcowych API akcji odpowiedzi, gdy włączony jest AISOC_DEV_MODE i AISOC_ACTIONS_SERVICE_TOKEN jest pusty w domyślnym wdrożeniu Docker Compose. Nieuwierzytelnieni atakujący mogą wyświetlać integracje akcji odpowiedzi, składać i zatwierdzać akcje w imieniu dowolnych podmiotów oraz wysyłać akcje izolacji przy użyciu poświadczeń dostawcy.
Oryginalny opis (angielski, źródło NVD)
AiSOC versions 7.2.0 before 12.0.0 contain a command injection vulnerability in the actions service that builds CrowdStrike Real Time Response command strings by interpolating unescaped action parameters in crowdstrike_rtr.py and endpoint.py. Authenticated users can inject single quotes into file_path, path, script_name, or script_args parameters to break out of quoted arguments and execute arbitrary commands on managed endpoints with SYSTEM or root privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS