CVE-2026-82042
KrytyczneCVSS 9.8Streszczenie
UTMStack w wersjach przed 11.2.16 zawiera podatność obejścia uwierzytelniania, która pozwala zdalnym atakującym uzyskać pełny dostęp administracyjny do API poprzez przedstawienie nagłówka Utm-Internal-Key zgodnego ze zmienną środowiskową INTERNAL_KEY. Filtr InternalApiKeyFilter akceptuje ten klucz dla dowolnego punktu końcowego bez ograniczeń ścieżki, porównania w stałym czasie, ograniczania liczby prób ani rejestrowania audytu. Atakujący, który pozna wartość klucza, może uwierzytelnić się bez konta użytkownika lub JWT, tworzyć konta, zarządzać użytkownikami, eksfiltrować dane i modyfikować reguły bezpieczeństwa.
Ocena ryzyka
Pozyskanie klucza INTERNAL_KEY pozwala atakującemu na pełne przejęcie administracji platformą UTMStack bez konta użytkownika. Umożliwia to tworzenie kont, eksfiltrację danych i modyfikację reguł bezpieczeństwa, co prowadzi do całkowitej kompromitacji systemu.
Rekomendacja
Zaktualizuj UTMStack do wersji 11.2.16 lub nowszej. Chroń wartość INTERNAL_KEY, rotuj ją i ogranicz dostęp sieciowy do API wyłącznie do zaufanych źródeł.
Inne podatności w UTMStack
Zobacz wszystkie- CVE-2026-82045Średnie
UTMStack w wersjach przed 11.2.16 zawiera podatność na wstrzyknięcie JPQL. Uwierzytelniony atakujący może odczytać dowolne dane encji, wstrzykując złośliwe zapytanie JPQL przez parametr value w punkcie końcowym GET /api/utm-network-scans/searchPropertyValues, ponieważ zapytanie jest budowane przez String.format() bez wiązania parametrów.
- CVE-2026-82044Wysokie
UTMStack przed wersją 11.2.16 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym atakującym na zmuszenie serwera do żądania dowolnych wewnętrznych zasobów poprzez podanie niezweryfikowanego parametru url w metodzie PdfService.downloadPdf() udostępnianej przez GET /api/generate-pdf-report. Atakujący mogą to wykorzystać do zmuszenia mikroserwisu web-pdf do pobierania wewnętrznych punktów końcowych backendu, klastra OpenSearch lub usługi metadanych instancji chmury, ujawniając wrażliwe dane wewnętrzne renderowane w zwracanym pliku PDF.
- CVE-2026-82043Średnie
UTMStack w wersjach przed 11.2.16 zawiera podatność na enumerację kont. Nieuwierzytelniony atakujący może ustalić zarejestrowane adresy e-mail, obserwując różne odpowiedzi HTTP z punktu końcowego POST /api/account/reset-password/init.
- CVE-2026-82040Średnie
UTMStack w wersjach przed 11.2.16 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w IdentityProviderService.validateMetadataUrl(). Uwierzytelniony atakujący może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych lub chmurowych hostów metadanych, podając złośliwy adres URL metadanych w punkcie końcowym identity-providers.
- CVE-2026-82039Wysokie
UTMStack przed wersją 11.2.16 zawiera podatność na wstrzykiwanie SQL w metodzie UtmAssetGroupService.searchQueryBuilder(). Uwierzytelniony atakujący może wstrzyknąć dowolny kod SQL, podając złośliwe wartości assetType i groupName, które są niebezpiecznie wstawiane do natywnego zapytania PostgreSQL. Atak można przeprowadzić przez endpoint GET /api/utm-asset-groups/searchGroupsByFilter, co pozwala na wykonanie dowolnego SQL z uprawnieniami DBA.
- CVE-2026-82041Krytyczne
UTMStack w wersjach przed 11.2.16 zawiera podatność braku autoryzacji w metodzie UTMIncidentCommandWebsocket.processCommand(), obsługującej cel STOMP /command/{hostname}, gdzie przed przekazaniem dostarczonych poleceń nie stosuje się sprawdzenia roli ani listy dozwolonych poleceń. Każdy uwierzytelniony użytkownik, niezależnie od roli, może wysyłać dowolne polecenia systemu operacyjnego przez gRPC do dowolnego podłączonego agenta, co skutkuje wykonaniem poleceń na monitorowanych punktach końcowych, gdzie procesy agenta często działają jako root lub SYSTEM.
Oryginalny opis (angielski, źródło NVD)
UTMStack before 11.2.16 contains an authentication bypass vulnerability that allows remote attackers to gain full administrative API access by presenting a valid Utm-Internal-Key header matching the INTERNAL_KEY environment variable value, which the InternalApiKeyFilter accepts for any endpoint without path restriction, constant-time comparison, rate limiting, or audit logging. Attackers who obtain the key value can authenticate without a user account or JWT to create accounts, manage users, exfiltrate data, and modify security rules.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS