CVE-2026-103057
ŚrednieCVSS 4.3Streszczenie
W AiSOC w wersjach od 5.1.0 do przed 12.0.0 wykryto podatność obejścia uwierzytelnienia w wewnętrznych punktach końcowych usługi realtime: POST /internal/agent-event i POST /internal/push. Atakujący mogą publikować dowolne zdarzenia ze sfałszowanymi identyfikatorami dzierżawców, aby rozgłaszać złośliwe treści przez kanały WebSocket i Redis SSE lub wysyłać nieautoryzowane powiadomienia do zarejestrowanych urządzeń.
Ocena ryzyka
Ryzyko polega na możliwości rozprzestrzeniania złośliwych treści i wysyłania nieautoryzowanych powiadomień, co może naruszyć integralność komunikacji i zaufanie użytkowników.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie AiSOC do wersji 12.0.0 lub nowszej oraz wdrożenie uwierzytelniania na wewnętrznych punktach końcowych.
Inne podatności w AiSOC
Zobacz wszystkie- CVE-2026-103055Wysokie
AiSOC w wersjach od 7.5.0 przed 12.0.0 używa stałej zakodowanej na sztywno do weryfikacji JWT w usłudze realtime WebSocket i SSE, gdy zmienna środowiskowa AISOC_REALTIME_JWT_SECRET nie jest ustawiona. Nieuwierzytelnieni atakujący mogą sfałszować bilety subskrypcji z dowolnymi identyfikatorami dzierżawców, aby uzyskać dostęp do alertów na żywo, spraw, zdarzeń agentów i aktualizacji grafów między dzierżawcami poprzez punkty końcowe realtime.
- CVE-2026-103054Wysokie
AiSOC w wersjach przed 12.0.0 zawiera podatność obejścia autoryzacji w module MSSP, która pozwala uwierzytelnionym użytkownikom dodawać dowolnych dzierżawców do posiadanych portfeli. Atakujący mogą przesyłać identyfikatory UUID dzierżawców poprzez endpoint add_tenants_to_portfolio, aby przejąć nieprzypisanych dzierżawców i odczytać ich alerty bezpieczeństwa, incydenty i metryki postawy bez zgody.
- CVE-2026-103053Średnie
W AiSOC w wersjach od 9.0.0 do przed 12.0.0 nie wymuszono uwierzytelnienia na punktach końcowych API akcji odpowiedzi, gdy włączony jest AISOC_DEV_MODE i AISOC_ACTIONS_SERVICE_TOKEN jest pusty w domyślnym wdrożeniu Docker Compose. Nieuwierzytelnieni atakujący mogą wyświetlać integracje akcji odpowiedzi, składać i zatwierdzać akcje w imieniu dowolnych podmiotów oraz wysyłać akcje izolacji przy użyciu poświadczeń dostawcy.
- CVE-2026-103056Krytyczne
AiSOC w wersjach od 7.2.0 do 12.0.0 zawiera lukę wstrzyknięcia poleceń w usłudze actions, która buduje ciągi poleceń CrowdStrike Real Time Response poprzez interpolację nieescapowanych parametrów akcji w plikach crowdstrike_rtr.py i endpoint.py. Uwierzytelniony użytkownik może wstrzyknąć apostrofy w parametry file_path, path, script_name lub script_args, aby wyłamać się z cytowanych argumentów i wykonać dowolne polecenia na zarządzanych endpointach z uprawnieniami SYSTEM lub root.
Oryginalny opis (angielski, źródło NVD)
AiSOC versions 5.1.0 before 12.0.0 contain an authentication bypass vulnerability in the realtime service internal endpoints POST /internal/agent-event and POST /internal/push. Attackers can post arbitrary events with spoofed tenant identifiers to broadcast malicious content over WebSocket and Redis SSE channels or send unauthorized notifications to registered devices.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS