CISA KEV: útoky na přihlášení a správu služeb

Čtyři nově zařazené zranitelnosti umožňují obejít přihlášení, získat správu aplikace nebo spouštět příkazy. Přehled se týká GPUStacku, určitých konfigurací OpenSSH na Linuxu, telefonní platformy FreeSWITCH a IBM Aspera Faspex; u všech jsou dostupné opravy.

CISA přidala všechny čtyři chyby do KEV 9. listopadu 2026. Jejich dopady se liší podle nasazení: někde útočník nepotřebuje účet, jinde zneužije běžná uživatelská oprávnění. Při kontrole proto nestačí porovnat název produktu se seznamem. Je nutné ověřit také verzi, způsob ověřování a dostupnost příslušné služby.

GPUStack, platforma pro provoz AI modelů a správu GPU, obsahuje ve verzích před 2.2.0 chybu CVE-2026-102895. Projekt jí přiděluje CVSS 3.1 ve výši 9,8. Při výchozím nastavení považuje požadavky z místní adresy za požadavky vestavěného správce. Vzdálený přístup však může takto vypadat při použití reverzní proxy na stejném stroji nebo kvůli důvěře v podvržený údaj o původu požadavku. Útočník pak získá administrátorský přístup bez přihlášení.

Následkem mohou být změny uživatelů a modelů, vytvoření trvalých administrátorských API klíčů, odhalení přístupových údajů pracovních uzlů a cloudových služeb i spuštění kódu na uzlech. Projekt popisuje skutečné zneužití instalace 2.1.1. Oprava v GPUStacku 2.2.0 odstraňuje automatické přiznávání správcovských práv místním požadavkům. Dočasná opatření zahrnují force_auth_localhost=true, odstranění klientem dodaného X-GPUStack-Real-IP na vstupní bráně a omezení přístupu k API z nedůvěryhodných sítí. Pouhá přítomnost reverzní proxy sama o sobě ochranu nezaručuje.

CVE-2026-123158 v OpenSSH má podle záznamu MITRE skóre CVSS 3.1 ve výši 8,1. Dopadá na Linux s knihovnou musl a vypnutým nebo nepřítomným PAM, například na určité konfigurace Alpine Linuxu. Speciálně vytvořený vstup při ověřování hesla může vést k přihlášení bez znalosti skutečného hesla. OpenSSH řeší problém ve verzi 10.6p2; jeho vývojáři přitom uvádějí, že základní příčina leží mimo sshd, ale zneužití lze v této službě zablokovat.

Podle Alpine musí být povoleno přihlašování heslem, cílový účet musí mít v poli hesla hvězdičku a alespoň jiný místní účet musí používat hash začínající $5$ nebo $6$. Ohrožený tak může být i účet běžně používaný pouze s SSH klíčem, pokud server nadále přijímá hesla. Přístup přímo k rootovi navíc závisí na PermitRootLogin; nejde o automatické obejití všech omezení všech účtů. Alpine s funkčním PAM a UsePAM yes ani instalace s PasswordAuthentication no touto cestou zasažené nejsou.

Alpine dodává opravené balíčky také pro starší větve: pro 3.24 jde o 10.3_p1-r2, pro 3.23 o 10.2_p1-r1, pro 3.22 o 10.0_p1-r11 a pro 3.21 o 9.9_p2-r1. Další větve uvádí tabulka v jeho upozornění. Po aktualizaci je nutné restartovat sshd, protože samotná výměna balíčku běžící proces nenahradí. Dočasně lze zakázat přihlašování heslem. Před touto změnou je vhodné ověřit funkční přístup klíčem a ponechat otevřené stávající spojení do úspěšného testu nového přihlášení.

FreeSWITCH do verze 1.11.2 včetně obsahuje CVE-2026-116779, kterou SignalWire hodnotí CVSS 3.1 ve výši 9,8. Přijatá zpráva SIP MESSAGE může místo běžného doručení zprávy vyvolat příkazy interního API. Dopadem je čtení konfigurace a přístupových údajů, ovládání hovorů i spouštění příkazů operačního systému s oprávněními procesu FreeSWITCH. Výrobce potvrzuje zneužití v reálném provozu.

Podmínkou je přijetí zprávy příslušným SIP profilem. Tam, kde se zprávy ověřují, postačuje běžný účet; ponechané ukázkové účty bez hesla mohou odstranit i tuto překážku. Oprava je ve FreeSWITCH 1.11.3 a standardně blokuje výběr příkazového API touto cestou. Pro profily, které nepotřebují příchozí chat, lze dočasně nastavit enable-chat=false. Samotné zapnutí ověřování zpráv, zpřísnění příchozích ACL ani zákaz systémových API příkazů celou zranitelnou cestu neuzavřou. Opatření proto musí odpovídat skutečnému zpracování zpráv, nikoli jen obecnému zabezpečení telefonní služby.

IBM Aspera Faspex 5.0.0 až 5.0.19 obsahuje CVE-2026-123218. Podle slovního popisu IBM může přihlášený uživatel vytvořením specifické zprávy obejít autorizaci a získat plná administrátorská oprávnění. Výrobce uvádí CVSS 3.1 ve výši 9,8, jeho vektor však obsahuje parametr PR:N, tedy bez požadovaných oprávnění. Tento nesoulad v podkladu nelze vykládat jako potvrzení útoku bez přihlášení; popis výrobce i CISA pracuje s již ověřeným uživatelem.

Nápravou je Aspera Faspex 5.0.19 PL1 pro Linux. IBM požaduje ověřit obraz kontejneru faspex-core ve verzi 5.0.19 s identifikátorem 1ce4b13 a označením Fix Pack: 1. Samotné číslo 5.0.19 tedy nestačí, protože bez opravy patří mezi postižená vydání. Náhradní opatření IBM neuvádí.

Doporučujeme po nasazení oprav ověřit skutečně běžící verze a projít neobvyklé přístupy, nově vytvořené účty a přístupové klíče. Při podezření na kompromitaci je třeba řešit také následky předchozího přístupu: aktualizace odstraní zranitelnost, ale nezruší automaticky útočníkem vytvořený účet ani odcizené tajné údaje.