Поделиться
Найдены максимальные уязвимости в знаменитой ОС для управления сетями
Уязвимости в ОС Ubiquiti UniFi затрагивают разработки, связанные с корпоративным интернетом вещей. Большинство не требует больших усилий для успешной эксплуатации.
10 баллов
Компания Ubiquiti выпустила обновления для критических уязвимостей в своих продуктах. Один из этих «багов», CVE-2026-50746, получил максимальную оценку по шкале угроз CVSS - 10 баллов.
Проблема затрагивает операционную систему UniFi OS, которая предназначена для управления сетевой инфраструктурой.
«Злоумышленник, имеющий доступ к сети, может использовать уязвимость, связанную с некорректным контролем доступа (Improper Access Control), обнаруженную в приложении UniFi Connect, для осуществления инъекции команд на хост-устройстве», - говорится в бюллетене UniFi.
Единственный способ устранить уязвимость - обновиться до версии UniFi Connect Application до версии 3.4.20 или новее.
Проблема гарантированно затрагивает все версии UniFi Connect Application до версии 3.4.16.
Это ПО предназначено для автоматизации и управления встраиваемыми системами корпоративного уровня (Enterprise of Things), которые могут включать интеллектуальные системы освещения, средства зарядки электромобилей и т.п. UniFi Connect Application, в частности, обеспечивает единый интерфейс для всех систем, входящих в единую инфраструктуру.
Компрометация этого интерфейса обеспечивает хакерам весьма серьёзный диапазон возможностей по нанесению ущерба.
Штатная уборка
Помимо того, компания Ubiquiti устранила ещё шесть критических уязвимостей безопасности, затрагивающих разные её продукты: это CVE-2026-50747, CVE-2026-50748, CVE-2026-54400, CVE-2026-54402, CVE-2026-55115 и CVE-2026-55116.
Среди приложений, потребовавших патчей, - UniFi Talk, UniFi Access и UniFi Protect. Также устранены уязвимости в UniFi OS Server и во множестве различных маршрутизаторов, шлюзов, сетевыфх накопителей данных и систем видеонаблюдения Ubiquiti.
Информации о том, подвергались ли эти уязвимости практической эксплуатации, компания не предоставила. Однако в бюллетенях Uniquiti говорится, что большинство уязвимостей можно эксплуатировать с минимальными усилиями и без ведома конечного пользователя или администратора.
Как пишет издание BleepingComputer, эксперты фирмы Censys насчитали более 100 тысяч экземпляров UniFi OS, установленных на устройства, доступные из интернета. Около 50 тысяч IP-адресов относятся к США. В России и сопредельных государствах, а также в Азии и Африке ни одного хоста не выявлено, хотя это не обязательно означает, что их нет. В РФ продолжает функционировать как минимум один официальный дилер Unbiquiti.
Bleeping Computer отмечает, что уже неоднократно наблюдались ситуации, когда киберкриминал активно эксплуатировал уязвимости в продуктах Ubiquiti. В прошлом компанию также обвиняли в том, что она не полностью раскрывала масштабы утечек данных в результате атак на её продукты.
«В данном случае остаётся открытым вопрос, имели ли место атаки на устранённые уязвимости или выпуск этих патчей - штатная генеральная уборка, - считает Дмитрий Пешков, эксперт по информационной безопасности компании SEQ. - Что можно гарантировать, так это массовые попытки эксплуатации перечисленных уязвимостей в ближайшее время: между выходом патчей и их установкой на конечные устройства проходит некоторое время. Соображения безопасности требуют сократить этот промежуток до минимума».
Поделиться
Короткая ссылка
