CVE-2026-16895
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W interfejsie JSON-RPC web service w Metasploit Framework wykryto podatność logiczną (fail-open). Gdy wystąpi wyjątek podczas sprawdzania stanu bazy danych (db.check) i zmienna środowiskowa MSF_WS_JSON_RPC_API_TOKEN nie jest ustawiona, aplikacja resetuje flagę msf.auth_initialized na false. Strategia uwierzytelniania ApiToken Warden błędnie interpretuje tę wartość jako brak wymaganego uwierzytelnienia, co umożliwia nieuwierzytelniony lokalny dostęp do dyspozytora żądań JSON-RPC.
Ocena ryzyka
Lokalny atakujący może uzyskać nieautoryzowany dostęp do interfejsu JSON-RPC, co może prowadzić do wykonania nieautoryzowanych operacji, w tym zarządzania frameworkiem i potencjalnie do eskalacji uprawnień.
Rekomendacja
Zaleca się ustawienie zmiennej środowiskowej MSF_WS_JSON_RPC_API_TOKEN oraz aktualizację Metasploit Framework do wersji zawierającej poprawkę. Należy również ograniczyć dostęp do interfejsu JSON-RPC tylko do zaufanych użytkowników.
Inne podatności w Metasploit Framework
Zobacz wszystkie- CVE-2026-87689Krytyczne
Metasploit Framework Web Service REST API (msf-ws) udostępnia magazyn poświadczeń przez Msf::WebServices::CredentialServlet. Obsługa aktualizacji (PUT) i usuwania (DELETE) poświadczeń w /api/v1/credentials nie wywołuje uwierzytelnienia, w przeciwieństwie do innych tras. Każdy klient, który może dotrzeć do usługi na domyślnym nasłuchiwaczu 0.0.0.0:8080, może czytać, modyfikować lub trwale usuwać wszystkie zapisane poświadczenia bez uwierzytelnienia. Wszystkie opublikowane wersje Metasploit Framework do 6.5.4 są dotknięte; poprawka w 6.5.5 dodaje wywołanie uwierzytelnienia.
- CVE-2026-109682Średnie
Metasploit Framework w wersjach przed 6.5.7 pozwala żądaniom HTTP wykonywanym przez send_request_cgi! na podążanie za przekierowaniami do innego hosta bez ograniczania miejsca docelowego przekierowania. Złośliwy serwer HTTP może spowodować, że system z uruchomionym Metasploit wykona żądania do dowolnych usług HTTP osiągalnych z sieci operatora, w tym do usług wewnętrznych, które w innym przypadku nie są dostępne dla atakującego.
- CVE-2026-87690Wysokie
Moduł post Metasploit Framework (post/apple_ios/gather/ios_image_gather) jest podatny na podatność typu path traversal (CWE-22). Moduł interpoluje nazwy plików z listingu katalogów Meterpreter (kontrolowane przez wrogie lub zmodyfikowane urządzenie iOS) bezpośrednio do ścieżki docelowej, co pozwala na zapis pliku poza zamierzonym katalogiem, np. nadpisanie pliku msfconsole.rc, który jest wykonywany przy każdym uruchomieniu msfconsole.
Oryginalny opis (angielski, źródło NVD)
A logic vulnerability (fail-open condition) has been identified within the Metasploit Framework's JSON-RPC web service interface. When an exception occurs during the database health check (db.check) and the environment variable MSF_WS_JSON_RPC_API_TOKEN is not explicitly set, the application resets the internal state flag msf.auth_initialized to false. The ApiToken Warden authentication strategy misinterprets this false value as an indicator that authentication is not initialized or required, thereby granting unauthenticated local access to the JSON-RPC request dispatcher.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS