⚠ Внимание ⚠
Вся информация, представленная ниже, предназначена только для ознакомительных целей. Автор не несёт ответственности за вред, который может быть причинён с помощью предоставленной им информации.
Апрель 2026 года ознаменовался всплеском критических уязвимостей в популярных системах и приложениях, включая уязвимости удалённого выполнения кода и утечки данных. Особое внимание привлекли обновления безопасности от Microsoft и Google, а также серьёзные проблемы в веб-серверах и телекоммуникационном оборудовании. Подведём вместе итоги четвёртого месяца этого года, поехали!
Навигация по уязвимостям
➡️ Три уязвимости в Microsoft Azure и Bing (ошибки авторизации и SSRF)
➡️ Уязвимости загрузки произвольных файлов в WordPress-плагинах
➡️ Выход за границы памяти в WebCodecs Google Chrome
➡️ Две уязвимости безопасности памяти в Mozilla Firefox и Thunderbird
➡️ Уязвимости в Cisco Secure Firewall и смежных компонентах
➡️ Уязвимости в ядре Linux
➡️ Критические уязвимости в JavaScript-движке Samsung Exynos
➡️ Обход аутентификации в конфигурационном сервисе TP-Link Tapo C520WS
➡️ Переполнение буфера в Httpd Tenda AC10
➡️ Внедрение SQL-кода в SAP Business Planning and Consolidation и SAP Business Warehouse
➡️ Переполнение буфера в OpenSSL при обработке OCTET STRING в X.509-сертификатах
? Три уязвимости в Microsoft Azure и Bing (ошибки авторизации и SSRF)
▶ CVE-2026-33105 / CVSS:4.0 — 9.3 CRITICAL
▶ CVE-2026-32186 / CVSS:4.0 — 9.3 CRITICAL
▶ CVE-2026-26135 / CVSS:4.0 — 8.7 HIGH
Об уязвимостях:
В начале апреля Microsoft сообщила о трёх уязвимостях в своих облачных и веб-сервисах, две из которых были оценены как критические.
CVE-2026-33105 — это уязвимость некорректной авторизации в Microsoft Azure Kubernetes Service (AKS), позволяющая неавторизованным атакующим повысить привилегии через сеть.
CVE-2026-32186 — уязвимость подделки запросов на стороне сервера (SSRF) в Microsoft Bing, также ведущая к повышению привилегий.
CVE-2026-26135 — аналогичная SSRF в Azure Custom Locations Resource Provider (RP), но с ограничением на авторизованных пользователей.
Все три уязвимости связаны с нарушением изоляции сервисов и потенциальной компрометацией внутренних ресурсов. Эти уязвимости могут быть использованы для атак на внутренние API, базы данных и другие компоненты инфраструктуры, находящиеся за межсетевым экраном. Важно отметить, что CVE-2026-33105 и CVE-2026-32186 не требуют предварительной аутентификации, что представляет особую опасность для публично доступных интерфейсов.
Эксплуатация и последствия:
CVE-2026-33105: Атакующий имеет возможность отправить специально сформированный сетевой запрос в AKS, обходя проверки авторизации. Это позволяет получить доступ к внутренним кластерам Kubernetes, где можно создавать, изменять или удалять ресурсы, включая секреты и конфигурации. Успешная эксплуатация способна привести к полной компрометации кластера, включая возможность запуска произвольного кода в контейнерах.
CVE-2026-32186: Нарушитель способен заставить сервер Bing выполнить внутренний HTTP-запрос на другой ресурс, находящийся в локальной сети или в приватном сегменте облака. Это позволяет обойти ограничения на доступ к внутренним API и получить информацию, недоступную извне. Уязвимость может быть использована для извлечения конфиденциальных данных, атак на соседние сервисы или для выполнения команд на сервере.
CVE-2026-26135: Атакующий, уже имеющий легитимный доступ к Azure через авторизованный клиент, имеет возможность использовать SSRF для выполнения запросов на внутренние ресурсы, которые не должны быть доступны извне. Это позволяет обойти изоляцию между клиентами и получить доступ к конфигурациям, секретам или другим ресурсам, находящимся в изолированных сегментах Azure. Последствия включают утечку данных и возможность дальнейшего движения внутри сети.
Рекомендации:
Обновить все экземпляры Microsoft Azure Kubernetes Service до версии, включающей исправления безопасности. Проверить журналы доступа и мониторить подозрительные запросы к API кластеров Kubernetes.
Для Microsoft Bing и Azure Custom Locations Resource Provider включить дополнительные проверки на стороне сервера, такие как валидация URL-адресов в запросах и использование межсетевых экранов с политиками ограничения исходящих запросов.
Провести аудит всех клиентских приложений, обращающихся к Azure RP и Bing, на предмет использования внутренних ресурсов и возможного SSRF. Включить в конфигурации ограничения на исходящие HTTP-запросы и включить мониторинг аномалий в сетевом трафике.
? Уязвимости загрузки произвольных файлов в WordPress-плагинах
▶ CVE-2026-3535 / CVSS:4.0 — 9.3 CRITICAL
▶ CVE-2026-1830 / CVSS:4.0 — 9.3 CRITICAL
▶ CVE-2026-0740 / CVSS:4.0 — 9.3 CRITICAL
Об уязвимостях:
В WordPress были обнаружены три критические уязвимости, связанные с отсутствием проверки типов загружаемых файлов в популярных плагинах. Все три CVE позволяют атакующему, не имея учётной записи, загрузить на сервер произвольные файлы, включая веб-оболочки на PHP, что ведёт к выполнению произвольного кода на стороне сервера. Уязвимости затрагивают функции, доступные через AJAX-запросы или REST API.
В CVE-2026-3535 и CVE-2026-0740 проблема связана с отсутствием валидации MIME-типов и расширений, в то время как CVE-2026-1830 существует вследствие недостаточного контроля авторизации и возможности обхода ограничений путём использования path traversal. Уязвимости не включены в KEV CISA, но требуют внимания из-за высокого CVSS и уровня доступности для атакующих.
Эксплуатация и последствия:
CVE-2026-3535: В плагине DSGVO Google Web Fonts GDPR версии 1.1 и ниже обнаружена уязвимость в функции «DSGVOGWPdownloadGoogleFonts()». Нарушитель имеет возможность отправить специальный запрос с поддельным URL-адресом, который плагин ошибочно принимает за CSS-файл. В результате атакующий получает возможность загрузить на сервер произвольный файл (например, веб-оболочку). Уязвимость активна только при использовании определённых тем, что может ограничить её распространение, но не исключает риска.
CVE-2026-1830: Атакующий использует REST API плагина Quick Playground, чтобы получить синхронизационный код и затем загрузить PHP-файл с использованием path traversal. Это позволяет обойти защиту и разместить веб-шелл в директории, доступной через веб-интерфейс.
CVE-2026-0740: В плагине Ninja Forms – File Uploads до версии 3.3.27 обнаружена уязвимость в функции «NF_FU_AJAX_Controllers_Uploads::handle_upload». Плагин не проверяет тип загружаемого файла, вследствие чего злоумышленник имеет возможность загрузить на сервер вредоносный PHP-файл. Уязвимость была частично исправлена в версии 3.3.25, но полное решение появилось только в 3.3.27. Это означает, что веб-приложения, обновлённые до 3.3.25, всё ещё остаются в уязвимом состоянии.
Рекомендации:
Обновить все уязвимые плагины до исправленных версий: DSGVO Google Web Fonts GDPR — до 1.2, Quick Playground — до 1.3.2, Ninja Forms - File Uploads — до 3.3.27.
Проверить список активных тем на сайте, чтобы исключить использование тем, уязвимых к CVE-2026-3535 (twentyfifteen, twentyseventeen и др.), и при необходимости перейти на альтернативные.
Включить в общую стратегию безопасности WordPress ограничения на загрузку файлов: настроить веб-сервер (Apache/Nginx) на блокировку запросов к файлам с расширением .php в директориях, не предназначенных для хранения веб-контента, и использовать модули безопасности вроде Wordfence или iThemes Security.
? Выход за границы памяти в WebCodecs Google Chrome
▶CVE-2026-5282 / CVSS:4.0 — 7.2 HIGH
Об уязвимости:
Уязвимость связана с ошибкой выхода за границы памяти (CWE-125) в модуле WebCodecs браузера Google Chrome. Проблема возникает при обработке пользовательских данных, передаваемых через специально сформированный HTML-документ, который способен инициировать некорректное обращение к памяти. Уязвимость затрагивает все версии Google Chrome до 146.0.7680.178.
Модуль WebCodecs, отвечающий за обработку сжатых видео и медиапотоков, некорректно проверяет границы буфера при выполнении операций кодирования/декодирования, что позволяет злоумышленнику прочитать содержимое памяти, выходящее за пределы выделенного буфера. Поскольку уязвимость может быть применена через веб-страницу, риск эксплуатации высок, особенно в средах с высокой степенью взаимодействия с внешними ресурсами.
Эксплуатация и последствия:
Атакующий создаёт вредоносный HTML-документ, содержащий специфически сформированный запрос к WebCodecs API. Пользователь, открывший этот документ в уязвимой версии Chrome, вызывает обработку данных, в результате чего браузер пытается прочитать память за пределами выделенного буфера.
Это позволяет злоумышленнику получить доступ к внутренним данным процесса браузера, включая потенциально чувствительную информацию, такую как токены сессий, кэшированные данные и другие элементы памяти. В худшем случае утечка памяти может быть использована для построения атаки на основе анализа утечек, ведущей к выполнению произвольного кода в контексте пользователя.
Рекомендации:
Обновить Google Chrome до версии, где уязвимость была исправлена.
Ограничить запуск веб-браузера в песочнице или использовать изолированные профили для открытия непроверенных веб-приложений.
Включить политики веб-браузера, запрещающие автоматическое выполнение сценариев на неподписанных или подозрительных сайтах, а также включить модули безопасности, такие как Chrome Enterprise или расширения для блокировки вредоносных сценариев.
? Две уязвимости безопасности памяти в Mozilla Firefox и Thunderbird
▶ CVE-2026-5734 / CVSS:4.0 — 9.3 CRITICAL
▶ CVE-2026-5735 / CVSS:4.0 — 9.3 CRITICAL
Об уязвимостях:
Mozilla выпустила обновления для Firefox и Thunderbird, исправляющие две критические уязвимости, связанные с ошибками управления памятью. CVE-2026-5734 затрагивает Firefox ESR 140.9.0, Firefox 149.0.1, а также соответствующие версии Thunderbird, а CVE-2026-5735 — только Firefox 149.0.1 и Thunderbird 149.0.1.
Обе уязвимости классифицируются как CWE-787 (ошибка доступа к памяти) и в случае CVE-2026-5734 дополнительно CWE-120 (ошибка обработки строк). Проблема заключается в наличии багов, которые способны привести к утечкам памяти или её повреждению, что теоретически позволяет злоумышленнику выполнить произвольный код в контексте процесса веб-браузера.
Оба уязвимых компонента — это ядро веб-браузера и его движок рендеринга, что делает их особенно значимыми в контексте безопасности пользовательских данных. Mozilla отметила, что хотя не было подтверждений активной эксплуатации, потенциальная возможность выполнения произвольного кода обусловливает крайнюю опасность этих уязвимостей. Оба CVE были исправлены в версиях 149.0.2 и 140.9.1.
Эксплуатация и последствия:
CVE-2026-5734: Атакующий имеет возможность создать веб-страницу, содержащую специально сформированный сценарий, который при загрузке в уязвимую версию Firefox или Thunderbird вызывает утечку памяти или её повреждение. При успешной эксплуатации злоумышленник получает возможность выполнить произвольный код в контексте пользователя, что способно привести к краже данных, установке вредоносного ПО или полной компрометации системы.
CVE-2026-5735: Аналогично, атакующий использует вредоносную веб-страницу для инициирования ошибки доступа к памяти. Поскольку уязвимость затрагивает только версии 149.0.1, она может быть использована для получения привилегий или устойчивого доступа к системе. Последствия те же — от утечки данных до полной компрометации.
Рекомендации:
Обновить Firefox и Thunderbird до версий 149.0.2 или выше, включая ESR-ветку 140.9.1.
Проверить все клиентские рабочие станции, особенно те, что используют веб-браузеры в автоматизированных сценариях или в составе почтовых клиентов.
Включить политики автоматического обновления программного обеспечения и настроить мониторинг версий установленных приложений в централизованной системе управления.
? Уязвимости в Cisco Secure Firewall и смежных компонентах
▶ CVE-2026-20093 / CVSS:4.0 — 9.3 CRITICAL
▶ CVE-2026-20160 / CVSS:4.0 — 9.3 CRITICAL
▶ CVE-2026-20094 / CVSS:4.0 — 8.7 HIGH
Об уязвимостях:
Cisco обнародовала три серьёзные уязвимости в своих системах управления и интерфейсах, включая Cisco Integrated Management Controller (IMC) и Cisco Smart Software Manager On-Prem (SSM On-Prem). Все три уязвимости позволяют атакующим, действуя удаленно, получить контроль над системой, включая выполнение произвольных команд с привилегиями суперпользователя.
CVE-2026-20093 — это уязвимость в функции смены пароля IMC, где вследствие некорректной обработки HTTP-запросов атакующий имеет возможность обойти процедуру аутентификации и изменить пароли произвольных пользователей, включая администратора.
CVE-2026-20160 связана с неумышленным открытием внутреннего сервиса в SSM On-Prem, что позволяет выполнить произвольные команды с правами суперпользователя root.
CVE-2026-20094 — уязвимость веб-интерфейса IMC, где недостаточная валидация пользовательского ввода приводит к внедрению команд.
Эксплуатация и последствия:
CVE-2026-20093: Атакующий отправляет специально сформированный HTTP-запрос на уязвимый IMC, который позволяет обойти механизм аутентификации. После успешной атаки злоумышленник получает возможность изменить пароль администратора и получить полный контроль над системой.
CVE-2026-20160: Нарушитель взаимодействует с внутренним API, который был неумышленно открыт, манипулируя запросом. Это позволяет выполнить произвольные команды с правами root-пользователя, что способно привести к полной компрометации узла.
CVE-2026-20094: Потенциальный злоумышленник, обладающий учётной записью с правами только на чтение, отправляет веб-интерфейсу IMC команды с вредоносной нагрузкой. После обработки запроса в системе выполняются произвольные команды от имени root, что открывает путь к полному захвату устройства.
Рекомендации:
Проверить и обновить Cisco IMC и Cisco Smart Software Manager On-Prem до версий, в которых устранены уязвимости.
Включить строгую фильтрацию и мониторинг HTTP-трафика, поступающего на интерфейсы управления, особенно для запросов, связанных со сменой паролей и API-запросов.
Ограничить доступ к веб-интерфейсам IMC и SSM On-Prem, применяя многофакторную аутентификацию и минимальные привилегии для пользователей.
? Уязвимости в ядре Linux
▶ CVE-2026-23410 / CVSS:4.0 — 8.5 HIGH
▶ CVE-2026-23427 / CVSS:4.0 — 8.7 HIGH
▶ CVE-2026-23428 / CVSS:4.0 — 8.5 HIGH
Об уязвимостях:
В ядре Linux были исправлены три значимые уязвимости, связанные с состоянием гонки потоков и некорректным использованием динамической памяти (use-after-free). Все они затрагивают компоненты, связанные с AppArmor и SMB-подсистемой ядра, и могут привести к отказу в обслуживании или потенциальному выполнению произвольного кода с привилегиями ядра.
CVE-2026-23410 — это гонка потоков (Race Condition) в AppArmor, возникающая при одновременном открытии файлов rawdata и удалении профиля. Поскольку rawdata не поддерживают счётчики ссылок, существует окно, в котором указатель может стать «висячим», что приводит к use-after-free.
CVE-2026-23427 и CVE-2026-23428 касаются SMB-сервера ядра (ksmbd), где в ходе обработки сложных запросов и операций отключения соединений происходит неправильное управление указателями на освобождённую память.
Все три уязвимости были обнаружены в ходе внутреннего аудита и исправлены в рамках регулярных обновлений безопасности. Они затрагивают широкий диапазон версий ядра, включая актуальные ветки 6.x. Поскольку ядро Linux используется в большом количестве серверных, встраиваемых и десктопных систем, риск эксплуатации высок.
Эксплуатация и последствия:
CVE-2026-23410: Атакующий имеет возможность инициировать гонку между открытием rawdata-файла и удалением профиля AppArmor, что приводит к некорректному использованию динамической памяти в структуре «aa_loaddata». Эксплуатация способна вызвать падение ядра или, в редких случаях, выполнение произвольного кода. Уязвимость требует привилегированных прав для удаления профиля, но при наличии других уязвимостей может быть использована для повышения привилегий.
CVE-2026-23427: Нарушитель отправляет специально сформированный SMB-запрос с флагом «REPLAY_OPERATION», который вызывает перезапись указателя «fp->conn» на уже освобождённую структуру. При последующем вызове функции «__ksmbd_close_fd()» происходит неправильное управление указателями на освобождённую память, что может вызвать падение ядра или выполнение произвольного кода. Уязвимость может быть применена через сетевой интерфейс, если SMB-сервер доступен извне.
CVE-2026-23428: Потенциальный злоумышленник отправляет составной SMB-запрос, в котором сначала отключается ресурс соединения (SMB tree connect), а затем выполняется операция, использующая уже освобождённый указатель «share_conf». Это приводит к use-after-free и потенциальной компрометации памяти ядра. Уязвимость может быть использована для вызова сбоя ядра или, в случае успешной стабилизации, для выполнения произвольного кода.
Рекомендации:
Обновить ядро Linux до версии, в которой устранены уязвимости. Использовать патчи от дистрибутива, если обновление до новой версии невозможно.
Отключить SMB-сервер (ksmbd) в системах, где он не используется, чтобы минимизировать атакуемую поверхность. Это особенно актуально для серверов, не предоставляющих SMB-доступ.
Включить KASAN (Kernel Address Sanitizer) в тестовые и рабочие среды для раннего обнаружения подобных утечек памяти. Также рекомендуется настроить мониторинг ядра на предмет аномалий, связанных с падениями или утечками памяти.
? Критические уязвимости в JavaScript-движке Samsung Exynos
▶ CVE-2026-25205 / CVSS:4.0 — 9.3 CRITICAL
▶ CVE-2026-25207 / CVSS:4.0 — 9.3 CRITICAL
▶ CVE-2026-25208 / CVSS:4.0 — 9.3 CRITICAL
Об уязвимостях:
В JavaScript-движке Escargot, используемом в процессорах Samsung Exynos, были обнаружены три уязвимости, раскрытые 13 апреля 2026 года. Все они связаны с обработкой буферов и типами данных в интерпретаторе сценариев.
CVE-2026-25205 и CVE-2026-25207 представляют собой утечки памяти за пределами буфера (out-of-bounds write), вызванные недостаточной проверкой границ при манипуляциях с массивами. CVE-2026-25208 — это переполнение целочисленного типа (integer overflow), которое способно привести к некорректному выделению памяти и, как следствие, к уязвимости переполнения буфера.
Все три уязвимости затрагивают один и тот же фиксированный коммит в репозитории Escargot (hash 97e8115ab1110bc502b4b5e4a0c689a71520d335), что указывает на их совместную реализацию и, вероятно, схожий контекст возникновения. Поскольку Escargot используется в мобильных устройствах на базе Exynos, эти уязвимости представляют риск как для пользовательских данных, так и для целостности операционной системы Android.
Эксплуатация и последствия:
CVE-2026-25205 позволяет потенциальному злоумышленнику выполнить произвольную запись в память, что может быть использовано для подмены указателей или корректировки структур данных, необходимых для выполнения произвольного кода. Атакующий имеет возможность доставить вредоносный сценарий через веб-страницу или приложение, использующее интерфейс веб-рендеринга. Последствия включают возможность повышения привилегий и компрометацию ядра.
CVE-2026-25207 аналогично уязвимо к записи за пределы буфера, но с акцентом на структуры, связанные с обработкой строк. Эксплуатация способна привести к сбою процесса или, при точном контроле, к выполнению произвольного кода от имени пользователя.
CVE-2026-25208, в свою очередь, использует переполнение целочисленного значения для манипуляции с размером буфера, что создаёт возможность переписать соседние области памяти. Это может быть использовано для обхода защитных механизмов, таких как ASLR, и дальнейшей эксплуатации для получения контроля над выполнением кода.
Рекомендации:
Обновить прошивки устройств на базе Samsung Exynos до версии, включающей исправления для коммита 97e8115ab1110bc502b4b5e4a0c689a71520d335.
Провести аудит всех приложений и веб-интерфейсов, использующих JavaScript-движок Escargot, на предмет возможной подверженности атакам с использованием вредоносных сценариев.
Настроить мониторинг систем на предмет аномальных падений процессов, связанных с выполнением JavaScript-кода, а также активности, связанной с несанкционированным доступом к памяти.
? Обход аутентификации в конфигурационном сервисе TP-Link Tapo C520WS
▶ CVE-2026-34121 / CVSS:4.0 — 8.7 HIGH
Об уязвимости:
Уязвимость обхода аутентификации была обнаружена в HTTP-обработке сервиса DS (Device Service) веб-интерфейса TP-Link Tapo C520WS. Причина уязвимости — несогласованная логика парсинга и авторизации JSON-запросов во время проверки аутентификации. В результате атакующий, не прошедший аутентификацию, имеет возможность добавить в запрос действие, которое по умолчанию не требует авторизации, и совместить его с запросом, выполняющим привилегированные действия конфигурации.
Уязвимость затрагивает прошивки Tapo C520WS до версии 1.2.4. Устройства этой серии широко используются в домашних и офисных сетях для видеонаблюдения. Поскольку сервис DS отвечает за управление настройками камеры, её уязвимость открывает возможность изменения конфигурации без контроля со стороны владельца.
Эксплуатация и последствия:
Атакующий отправляет HTTP-запрос с JSON-телом, в котором включает два действия: одно — не требующее аутентификации, другое — выполняющее привилегированные изменения в конфигурации. Сервис DS, вследствие ошибки в логике обработки, игнорирует проверку аутентификации для второго действия. В результате атакующий способен изменить настройки камеры, включая параметры подключения к сети, доступ к потоку видео, или даже отключить запись. Последствия включают:
Несанкционированное изменение настроек устройства, включая перенаправление трафика на внешние серверы.
Потенциальное отключение функций безопасности, таких как шифрование или аудит.
Возможность использовать камеру как входную точку для атак на внутреннюю сеть.
Рекомендации:
Обновить прошивку TP-Link Tapo C520WS до версии 1.2.4 или выше, где устранена уязвимость.
Настроить межсетевой экран и ограничить доступ к веб-интерфейсу камеры только с доверенных IP-адресов или через внутреннюю сеть.
Регулярно проверять файлы журналирования устройства на наличие подозрительных действий, особенно изменений в настройках подключения и доступа.
? Переполнение буфера в Httpd Tenda AC10
▶ CVE-2026-5550 / CVSS:4.0 — 8.7 HIGH
Об уязвимости:
В веб-сервере Httpd, используемом в маршрутизаторе Tenda AC10 версии 16.03.10.10_multi_TDE01, обнаружена уязвимость переполнения буфера на уровне стека (stack-based buffer overflow). Уязвимость возникает в функции «fromSysToolChangePwd», которая обрабатывает запросы на изменение пароля через веб-интерфейс. Некорректная проверка длины входных данных позволяет потенциальному злоумышленнику передать специально сформированный HTTP-запрос, содержащий избыточные данные, что приводит к переполнению локального буфера в стеке.
Уязвимость классифицируется под CWE-119 (Неправильное управление памятью) и CWE-121 (Переполнение буфера). Поскольку функция вызывается при обработке веб-запросов, атака может быть инициирована удалённо, без необходимости аутентификации.
Эксплуатация и последствия:
Атакующий отправляет HTTP-запрос на конечную точку, связанную со сменой пароля, с аномально длинным значением в параметре, ожидаемом функцией «fromSysToolChangePwd». В ходе обработки запроса функция копирует данные в буфер фиксированного размера без корректной проверки длины, что приводит к переполнению буфера и перезаписи соседних стековых структур, включая указатель возврата. Атакующий способен сформировать полезную нагрузку, чтобы заставить процесс Httpd выполнить произвольный код. Последствия:
Получение удалённого доступа с привилегиями пользователя, от имени которого работает Httpd.
Возможность установки скрытого доступа (бэкдора), изменения конфигурации маршрутизатора или перенаправления трафика.
Полный контроль над устройством, включая отключение защиты и скрытие следов атаки.
Рекомендации:
Обновить прошивку маршрутизатора Tenda AC10 до версии, в которой устранена уязвимость.
Ограничить доступ к веб-интерфейсу маршрутизатора только с доверенных IP-адресов или через локальную сеть.
Регулярно проверять файлы журналирования устройства на признаки необычной активности, особенно в разделе, связанном с изменением паролей.
? Внедрение SQL-кода в SAP Business Planning and Consolidation и SAP Business Warehouse
▶ CVE-2026-27681 / CVSS:4.0 — 9.4 CRITICAL
Об уязвимости:
Уязвимость CVE-2026-27681 связана с недостаточной проверкой авторизации и неправильной обработкой пользовательского ввода в модулях SAP Business Planning and Consolidation (BPC) и SAP Business Warehouse (BW). Атакующий, прошедший аутентификацию, может создать специально сформированные SQL-запросы, которые будут выполнены в контексте базы данных, используемой этими приложениями. Уязвимость затрагивает все версии SAP BPC и BW, выпущенные до 14 апреля 2026 года.
Поскольку SAP NetWeaver является основой для этих модулей, уязвимость можно эксплуатировать в произвольном окружении, где SAP NetWeaver используется в качестве платформы. Опасность заключается в том, что злоумышленник может не только читать конфиденциальные данные, но и модифицировать или удалять их, что приведёт к нарушению целостности, конфиденциальности и доступности критически важных бизнес-данных.
Эксплуатация и последствия:
Атакующий, имеющий легитимный доступ к системе, отправляет специально сформированный запрос, содержащий вредоносный SQL-код, через уязвимую точку входа в интерфейсе SAP BPC или BW. Сервер принимает запрос как валидный, поскольку отсутствует должная проверка и фильтрация ввода. SQL-код выполняется в базе данных, позволяя злоумышленнику извлечь данные, изменить существующие записи или удалить их. Последствия включают:
Утечку конфиденциальной информации, включая данные о финансовых отчётах, персонале и клиентской базе.
Модификацию или подделку данных, что может привести к нарушению корпоративных процессов и финансовым потерям.
Отказ в обслуживании, если атакующий удаляет ключевые таблицы или нарушает целостность базы данных.
Рекомендации:
Обновить SAP Business Planning and Consolidation и SAP Business Warehouse до версий, в которых устранена данная уязвимость.
Настроить минимальные привилегии для пользовательских аккаунтов, используемых в системе, чтобы ограничить доступ к критическим функциям и данным.
Реализовать дополнительные уровни проверки ввода на стороне сервера, включая параметризованные SQL-запросы и фильтрацию специальных символов.
? Переполнение буфера в OpenSSL при обработке OCTET STRING в X.509-сертификатах
▶ CVE-2026-31789 / CVSS:4.0 — 9.3 CRITICAL
Об уязвимости:
Уязвимость в OpenSSL связана с CWE-787 — неправильным управлением размером буфера. Она возникает при конвертации чрезмерно длинных значений OCTET STRING в шестнадцатеричную строку, что приводит к переполнению буфера, выделенного в динамической памяти. Уязвимость затрагивает 32-битные платформы и влияет на несколько версий OpenSSL: 3.0.0–3.0.20, 3.3.0–3.3.7, 3.4.0–3.4.5, 3.5.0–3.5.6, 3.6.0–3.6.2. Проблема возникает при обработке расширений X.509-сертификатов, таких как Subject Key Identifier (SKID) или Authority Key Identifier (AKID), если их значения в OCTET STRING слишком велики.
При вычислении размера буфера для шестнадцатеричного представления происходит умножение длины входных данных на 3, что на 32-битных системах может вызвать переполнение и выделение буфера меньшего размера, чем требуется. Это создаёт условия для его переполнения в динамической памяти. Существует возможность применения уязвимости при выводе или логировании содержимого непроверенного X.509-сертификата, что опасно для сервисов, работающих с доверенными или непроверенными сертификатами.
Эксплуатация и последствия:
Атакующий создаёт специально сформированный X.509-сертификат с чрезмерно длинным значением OCTET STRING в одном из расширений, например, в SKID. При обработке этого сертификата OpenSSL вычисляет размер буфера как длину входных данных, умноженную на 3, что на 32-битной платформе может вызвать переполнение. В результате выделяется буфер меньшего размера, чем требуется, и при попытке записать в него данные происходит переполнение. Последствия зависят от контекста использования OpenSSL: в серверных приложениях это может привести к отказу в обслуживании или компрометации всей системы.
Рекомендации:
Обновить OpenSSL до версии, в которой устранена уязвимость, например, 3.0.21, 3.3.8, 3.4.6, 3.5.7 или 3.6.3, в зависимости от используемой ветки.
Избегать логирования или вывода содержимого X.509-сертификатов, полученных из непроверенных источников. Если такая функциональность необходима, реализовать предварительную валидацию размера и структуры сертификатов перед обработкой.
Для 32-битных систем, где уязвимость наиболее критична, рекомендуется перейти на 64-битные архитектуры, где переполнение при умножении на 3 не приведёт к таким последствиям.