CVE-2026-30796
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w kliencie RustDesk powoduje przesyłanie hasła do książki adresowej w postaci jawnej w treści żądania synchronizacji pulsu. Mimo że transmisja przez HTTPS jest szyfrowana, hasło jest współdzielonym sekretem, który może zostać przechwycony przez atakującego przejmującego serwer API.
Ocena ryzyka
Organizacja narażona jest na kradzież hasła do książki adresowej, co umożliwia atakującemu dostęp do poufnych danych kontaktowych i potencjalne przejęcie kontroli nad zdalnymi sesjami.
Rekomendacja
Należy natychmiast zaktualizować klienta RustDesk do wersji nowszej niż 1.4.8 oraz wdrożyć mechanizm zero-knowledge proof dla uwierzytelniania książki adresowej.
Inne podatności w RustDesk Client
Zobacz wszystkie- CVE-2026-30789Krytyczne
Podatność w kliencie RustDesk pozwala na ataki typu brute force na hasła z powodu niewystarczającego wysiłku obliczeniowego przy haszowaniu oraz niewłaściwego ograniczenia nadmiernych prób uwierzytelnienia. Mechanizm uwierzytelniania oparty na SHA256 nie wykorzystuje funkcji wolnej do generacji kluczy, co umożliwia atakującym odzyskanie hasła offline.
- CVE-2026-30792Wysokie
Podatność w kliencie RustDesk umożliwia manipulację wiadomościami API aplikacji poprzez atak typu Man-in-the-Middle. Dotyczy to różnych platform, w tym Windows, MacOS, Linux, iOS, Android oraz WebClient.
Oryginalny opis (angielski, źródło NVD)
Cleartext Transmission of Sensitive Information, Insufficiently Protected Credentials vulnerability in rustdesk-client RustDesk Client rustdesk-client on Windows, MacOS, Linux, iOS, Android (Address book sync, Heartbeat sync loop modules) allows Sniffing Attacks. The client places the preset address-book password verbatim into the heartbeat sync JSON body (src/hbbs_http/sync.rs). Over an intact HTTPS session it is not exposed in transit, but it is a reusable shared secret rather than a zero-knowledge proof, so it is recovered by any party that becomes the API endpoint - under the re-homed/rogue API server (CVE-2026-30797) - and the leaked credential then authorizes the server-side address book. This vulnerability is associated with program files src/hbbs_http/sync.rs and program routines heartbeat sync body builder (emits preset-address-book-password). This issue affects RustDesk Client: through 1.4.8.