Критическая уязвимость, затрагивающая Rejetto HTTP File Server (HFS), подвергается активным попыткам эксплуатации, согласно VulnCheck.
Уязвимость, о которой идет речь, это CVE-2026-61500 (оценка CVSS: 9.3), случай подделки сессии, возникающий из-за использования слабого псевдослучайного генератора чисел (PRNG), который может привести к предсказуемому ключу, который злоумышленник может использовать для несанкционированного доступа и захвата контроля над затронутыми системами.
"Rejetto HFS 3.0.0 до 3.2.0 получает свой ключ подписи сессионного куки из некриптографического генератора Math.random() и раскрывает результаты этого же генератора неаутентифицированным клиентам во время входа," согласно уведомлению об уязвимости.
"Удаленный злоумышленник может собрать небольшое количество ответов на вход, восстановить состояние генератора, восстановить ключ подписи и подделать действительный куки сессии администратора, что приводит к полному административному доступу и удаленному выполнению кода через функцию конфигурации server_code."
Исследователь Horizon3.ai Зак Хэнли в посте, опубликованном 30 сентября 2026 года, сообщил, что для обнаружения уязвимости использовалась модель Mythos от Anthropic, описывая ее как обход аутентификации, который облегчает произвольное удаленное выполнение кода на Rejetto HFS.
"Административный API Rejetto HFS позволяет создавать пользовательские конечные точки, которые могут выполнять произвольный JavaScript," сказал Хэнли. "В совокупности это представило ясный путь от неаутентифицированного доступа к административному контролю и, в конечном итоге, к удаленному выполнению кода."
Патч для уязвимости был выпущен в июле 2026 года в версии 3.2.1. Однако только в конце сентября был публично выпущен основанный на Python эксплойт в виде доказательства концепции (PoC) исследователем безопасности по имени Алехандро Рамос (также известный как aramosf).
"HFS генерировал свой ключ подписи сессионного куки Koa с помощью JavaScript Math.random() и раскрывал результаты того же PRNG V8 в неаутентифицированном рукопожатии SRP при входе," отметил Рамос. "Злоумышленник может восстановить состояние PRNG, восстановить ключ подписи, подделать сессию администратора и использовать документированную функцию конфигурации server_code для выполнения серверного JavaScript."
Согласно Патрику Гаррити из VulnCheck, попытки эксплуатации были зафиксированы 1 октября 2026 года, на следующий день после того, как Horizon3.ai опубликовала дополнительные детали об уязвимости. Кибербезопасная компания сообщила, что идентифицировала неназванного злоумышленника в Китае, нацелившегося на реальные уязвимые хосты в США.
CVE-2026-61500 является второй уязвимостью в Rejetto HTTP File Server после CVE-2024-23692 (оценка CVSS: 9.8), которая подверглась активной эксплуатации в дикой природе. В июле 2024 года несколько злоумышленников были замечены, использующими эту уязвимость для доставки криптовалютных майнеров, троянов и вредоносного ПО под названием HATVIBE.
Нашли эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.