CVE-2026-82041
KrytyczneCVSS 9.9Streszczenie
UTMStack w wersjach przed 11.2.16 zawiera podatność braku autoryzacji w metodzie UTMIncidentCommandWebsocket.processCommand(), obsługującej cel STOMP /command/{hostname}, gdzie przed przekazaniem dostarczonych poleceń nie stosuje się sprawdzenia roli ani listy dozwolonych poleceń. Każdy uwierzytelniony użytkownik, niezależnie od roli, może wysyłać dowolne polecenia systemu operacyjnego przez gRPC do dowolnego podłączonego agenta, co skutkuje wykonaniem poleceń na monitorowanych punktach końcowych, gdzie procesy agenta często działają jako root lub SYSTEM.
Ocena ryzyka
Każdy uwierzytelniony użytkownik może wykonać dowolne polecenia systemu operacyjnego na monitorowanych punktach końcowych z uprawnieniami root lub SYSTEM. Prowadzi to do pełnej kompromitacji zarządzanych hostów i eskalacji uprawnień w całym środowisku.
Rekomendacja
Zaktualizuj UTMStack do wersji 11.2.16 lub nowszej. Ogranicz uprawnienia kont użytkowników oraz rozważ uruchamianie agentów z minimalnymi wymaganymi uprawnieniami.
Inne podatności w UTMStack
Zobacz wszystkie- CVE-2026-82045Średnie
UTMStack w wersjach przed 11.2.16 zawiera podatność na wstrzyknięcie JPQL. Uwierzytelniony atakujący może odczytać dowolne dane encji, wstrzykując złośliwe zapytanie JPQL przez parametr value w punkcie końcowym GET /api/utm-network-scans/searchPropertyValues, ponieważ zapytanie jest budowane przez String.format() bez wiązania parametrów.
- CVE-2026-82044Wysokie
UTMStack przed wersją 11.2.16 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym atakującym na zmuszenie serwera do żądania dowolnych wewnętrznych zasobów poprzez podanie niezweryfikowanego parametru url w metodzie PdfService.downloadPdf() udostępnianej przez GET /api/generate-pdf-report. Atakujący mogą to wykorzystać do zmuszenia mikroserwisu web-pdf do pobierania wewnętrznych punktów końcowych backendu, klastra OpenSearch lub usługi metadanych instancji chmury, ujawniając wrażliwe dane wewnętrzne renderowane w zwracanym pliku PDF.
- CVE-2026-82043Średnie
UTMStack w wersjach przed 11.2.16 zawiera podatność na enumerację kont. Nieuwierzytelniony atakujący może ustalić zarejestrowane adresy e-mail, obserwując różne odpowiedzi HTTP z punktu końcowego POST /api/account/reset-password/init.
- CVE-2026-82040Średnie
UTMStack w wersjach przed 11.2.16 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w IdentityProviderService.validateMetadataUrl(). Uwierzytelniony atakujący może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych lub chmurowych hostów metadanych, podając złośliwy adres URL metadanych w punkcie końcowym identity-providers.
- CVE-2026-82039Wysokie
UTMStack przed wersją 11.2.16 zawiera podatność na wstrzykiwanie SQL w metodzie UtmAssetGroupService.searchQueryBuilder(). Uwierzytelniony atakujący może wstrzyknąć dowolny kod SQL, podając złośliwe wartości assetType i groupName, które są niebezpiecznie wstawiane do natywnego zapytania PostgreSQL. Atak można przeprowadzić przez endpoint GET /api/utm-asset-groups/searchGroupsByFilter, co pozwala na wykonanie dowolnego SQL z uprawnieniami DBA.
- CVE-2026-82042Krytyczne
UTMStack w wersjach przed 11.2.16 zawiera podatność obejścia uwierzytelniania, która pozwala zdalnym atakującym uzyskać pełny dostęp administracyjny do API poprzez przedstawienie nagłówka Utm-Internal-Key zgodnego ze zmienną środowiskową INTERNAL_KEY. Filtr InternalApiKeyFilter akceptuje ten klucz dla dowolnego punktu końcowego bez ograniczeń ścieżki, porównania w stałym czasie, ograniczania liczby prób ani rejestrowania audytu. Atakujący, który pozna wartość klucza, może uwierzytelnić się bez konta użytkownika lub JWT, tworzyć konta, zarządzać użytkownikami, eksfiltrować dane i modyfikować reguły bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
UTMStack before 11.2.16 contains a missing authorization vulnerability in UTMIncidentCommandWebsocket.processCommand(), the handler mapped to the /command/{hostname} STOMP destination, where no role check or command allowlist is applied before forwarding supplied commands. Any authenticated user, regardless of role, can send arbitrary operating-system commands over gRPC to any connected agent, resulting in command execution on monitored endpoints where agent processes commonly run as root or SYSTEM.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS