CVE-2026-87689
KrytyczneCVSS 9.8Streszczenie
Metasploit Framework Web Service REST API (msf-ws) udostępnia magazyn poświadczeń przez Msf::WebServices::CredentialServlet. Obsługa aktualizacji (PUT) i usuwania (DELETE) poświadczeń w /api/v1/credentials nie wywołuje uwierzytelnienia, w przeciwieństwie do innych tras. Każdy klient, który może dotrzeć do usługi na domyślnym nasłuchiwaczu 0.0.0.0:8080, może czytać, modyfikować lub trwale usuwać wszystkie zapisane poświadczenia bez uwierzytelnienia. Wszystkie opublikowane wersje Metasploit Framework do 6.5.4 są dotknięte; poprawka w 6.5.5 dodaje wywołanie uwierzytelnienia.
Ocena ryzyka
Atakujący bez uwierzytelnienia może uzyskać dostęp do wszystkich poświadczeń, w tym haseł, hashy i kluczy prywatnych, co prowadzi do pełnej kompromitacji danych uwierzytelniających. Może to umożliwić przejęcie kont i systemów w organizacji.
Rekomendacja
Należy natychmiast zaktualizować Metasploit Framework do wersji 6.5.5 lub nowszej. Dodatkowo, należy ograniczyć dostęp do usługi webowej, np. poprzez zmianę domyślnego nasłuchiwania na interfejsie lokalnym.
Inne podatności w Metasploit Framework
Zobacz wszystkie- CVE-2026-87690Wysokie
Moduł post Metasploit Framework (post/apple_ios/gather/ios_image_gather) jest podatny na podatność typu path traversal (CWE-22). Moduł interpoluje nazwy plików z listingu katalogów Meterpreter (kontrolowane przez wrogie lub zmodyfikowane urządzenie iOS) bezpośrednio do ścieżki docelowej, co pozwala na zapis pliku poza zamierzonym katalogiem, np. nadpisanie pliku msfconsole.rc, który jest wykonywany przy każdym uruchomieniu msfconsole.
- CVE-2026-16895Średnie
W interfejsie JSON-RPC web service w Metasploit Framework wykryto podatność logiczną (fail-open). Gdy wystąpi wyjątek podczas sprawdzania stanu bazy danych (db.check) i zmienna środowiskowa MSF_WS_JSON_RPC_API_TOKEN nie jest ustawiona, aplikacja resetuje flagę msf.auth_initialized na false. Strategia uwierzytelniania ApiToken Warden błędnie interpretuje tę wartość jako brak wymaganego uwierzytelnienia, co umożliwia nieuwierzytelniony lokalny dostęp do dyspozytora żądań JSON-RPC.
Oryginalny opis (angielski, źródło NVD)
The Metasploit Framework Web Service REST API (msf-ws) exposes the credential store through Msf::WebServices::CredentialServlet. Every mutating and read route in this servlet calls warden.authenticate! before processing a request, except the update_credential (PUT) and delete_credentials (DELETE) handlers for /api/v1/credentials, which omit the authentication call entirely. Because these handlers call directly into lib/msf/core/db_manager/cred.rb, which performs no authorization check of its own, any client able to reach the web service on its default 0.0.0.0:8080 listener can read, modify, or permanently delete every stored credential record — including passwords, hashes, and private keys stored for a shared team engagement — without presenting any authentication. All published versions of Metasploit Framework through 6.5.4 are affected. The issue is fixed in 6.5.5 by adding warden.authenticate! as the first statement in both handlers, matching the pattern used by every other route in the API.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS