Разбор уязвимости в IBM Aspera Faspex с 5.0.0 по 5.0.19 (продукт для отправки и совместного использования больших файлов), которая позволяет атакующему обойти авторизацию и получить права администратора. Что происходит, кого это касается и как реагировать — со стороны защиты и без шагов атаки.
- CVE
- CVE-2026-123218 (бюллетень безопасности IBM 7295921)
- Тяжесть
- CVSS v3.1 9.8 (Critical; вектор AV:N/AC:L/PR:N/UI:N; присвоена IBM)
- Тип
- Некорректная авторизация (CWE-863). Специально составленное сообщение обходит авторизацию и даёт права администратора
- Условия
- В источниках описаны по-разному. IBM и запись CVE: авторизованный пользователь. CVSS от IBM: привилегии не требуются (PR:N). KEV: аутентифицированный пользователь
- Затронуто
- IBM Aspera Faspex с 5.0.0 по 5.0.19
- Исправление
- IBM Aspera Faspex 5.0.19 PL1 (Linux). Обходные меры не указаны
- Даты
- Бюллетень IBM и запись CVE: 7 ноября 2026 года
- Эксплуатация
- Добавлена в CISA KEV 9 ноября 2026 года (срок — 12 ноября). В бюллетене IBM не упоминается
Чем опасно ожидание
С правами администратора атакующий получает доступ к файлам в Faspex, настройкам общего доступа и управлению пользователями. Продукты для передачи файлов часто хранят конфиденциальные и очень большие данные, которыми обмениваются с партнёрами, так что последствия не ограничиваются самим продуктом. CISA отмечает, что для этой записи в KEV требуется судебно-технический разбор, а не только обычное обновление.
В чём заключается уязвимость
Согласно бюллетеню IBM и записи CVE, в Faspex с 5.0.0 по 5.0.19 специально составленное сообщение позволяет обойти авторизацию пользователя и получить полные права администратора. Она отнесена к классу некорректной авторизации (CWE-863). Ни бюллетень, ни этот сайт не описывают вид сообщения и способ его отправки.
Примечательно, что условия описаны непоследовательно. Этот сайт не принимает какую-то одну версию, а ставит источники рядом.
IBM (бюллетень и CVSS)
- Описание в записи CVE: сообщение составляет авторизованный пользователь
- Вектор CVSS: привилегии не требуются (PR:N), участие пользователя не нужно
- Оценка 9.8 (Critical)
CISA (KEV)
- Описание: сообщение составляет аутентифицированный пользователь
- Авторизация обходится, происходит повышение привилегий
- Оценки нет (KEV её не публикует)
«Авторизованный пользователь» и «привилегии не требуются» плохо согласуются друг с другом, а бюллетень IBM не говорит, какая формулировка ближе к истине. Защитнику стоит планировать исходя из худшего случая: обычная рабочая учётная запись может привести к правам администратора, и нельзя исключить, что до этого можно добраться вообще без учётной записи.
Кого это касается
| Пункт | Подробности |
|---|---|
| Продукт | IBM Aspera Faspex |
| Затронутые версии | С 5.0.0 по 5.0.19 |
| Исправление | 5.0.19 PL1 (Linux). IBM просит проверить образ контейнера faspex-core |
| Обходные и смягчающие меры | Нет, согласно бюллетеню IBM |
| Версии, не упомянутые в бюллетене | Линейки до 5.0.0 и другие; если вы их используете, уточните у IBM |
- Исправление поставляется в виде обновлённых образов контейнеров (порядок действий — в документации IBM).
- Если вы пользуетесь Faspex через реселлера или поставщика поддержки, ориентируйтесь на те же версии и следуйте указаниям поставщика.
Как проверить, затронуты ли вы
Проверьте версию Faspex
Посмотрите в консоли администратора или по версии развёрнутого образа контейнера. Затронуты версии с 5.0.0 по 5.0.19; исправленное развёртывание — 5.0.19 Fix Pack 1. Если рабочая, тестовая и разработческая среды раздельные, проверьте каждую (чек-лист инвентаризации активов).
Проверьте, доступен ли он снаружи
Проверьте, можно ли добраться до веб-интерфейса и API Faspex из интернета или из сетей партнёров. Для продукта из KEV доступность из интернета — главный фактор при выборе приоритета.
Составьте список тех, у кого есть права администратора
Зафиксируйте текущие учётные записи администраторов. Это станет основой, по которой после обновления вы найдёте неожиданных администраторов.
Что сделать сегодня
Обновитесь до 5.0.19 PL1 (главный приоритет)
По процедуре IBM доведите образы контейнеров до исправленной версии. Затем убедитесь, что образ faspex-core — 5.0.19 (1ce4b13, Fix Pack: 1). Срок по KEV — 12 ноября.
Сузьте доступ, пока не можете обновиться
IBM обходных мер не приводит. От себя этот сайт советует: ограничьте адреса, с которых можно добраться до Faspex, теми пользователями и сетями партнёров, которым он нужен. Это не замена обновлению, а лишь временное уменьшение доступности.
Проверьте учётные записи администраторов и изменения привилегий
За период до обновления поищите новых администраторов, обычные учётные записи, которым повысили права, а также повторно выданные пароли или ключи API. Сравните с записанным списком администраторов и отключите всех неожиданных.
Проверьте настройки общего доступа и передачи, а также журналы
Поищите неожиданные ссылки для общего доступа, добавленных получателей, изменённые настройки передачи и необычно крупные загрузки. Поскольку KEV помечает эту запись как требующую судебно-технического разбора, не ограничивайтесь обновлением, проверьте признаки компрометации. Порядок действий описан в плейбуке устранения уязвимостей.
Смените учётные данные, если нашли что-то подозрительное
Если вы обнаружили подозрительную активность администратора, смените пароли администраторов, ключи API и подключённые учётные записи и сообщите заинтересованным партнёрам. Даже если ничего не найдено, запишите, что и за какой период вы проверили.
Состояние эксплуатации
- CISA добавила её в KEV 9 ноября 2026 года со сроком 12 ноября (версия каталога KEV 2026.11.09). Этот сайт считает добавление в KEV основанием для вывода об эксплуатации.
- В бюллетене IBM об эксплуатации ничего не сказано. Публичные сведения о масштабе, методах и действующих лицах подтвердить не удалось.
- KEV отмечает использование в атаках с программами-вымогателями как Unknown, а необходимость судебно-технического разбора — как Yes.
- Оценка CISA (эксплуатация активна, автоматизируемо, полное техническое воздействие) добавлена в запись CVE.
- Статус NVD — Undergoing Analysis, показана оценка 9.8, присвоенная IBM.
- Faspex уже попадал в KEV: CVE-2022-47986 (выполнение кода) добавлена 21 февраля 2023 года, использование в атаках с программами-вымогателями отмечено как Known. Это другая уязвимость.
Мнение этого сайта: непоследовательное описание условий — не повод ждать
Рассуждение «если нужна аутентификация, нам ничего не грозит» рискованно по двум причинам.
Во-первых, Faspex создан для работы с партнёрами, поэтому внешних учётных записей часто много; чем больше людей может войти, тем меньше защищает требование аутентификации. Во-вторых, по CVSS от IBM привилегии не требуются, а по публичным сведениям нельзя решить, какое описание верно. То, что нельзя выяснить, трактуйте осторожно: сначала обновитесь, затем проверьте изменения у администраторов (аутентификация и авторизация: в чём разница).
Источники
- IBM — Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass (опубликовано 7 ноября 2026 года; затронутые версии, исправление, отсутствие обходных мер, CVSS 9.8)
- CVE.org — CVE-2026-123218 (опубликовано 7 ноября 2026 года; включает добавление CISA)
- NVD — CVE-2026-123218 (Undergoing Analysis; CWE-863)
- CISA KEV — Known Exploited Vulnerabilities Catalog (добавлена 9 ноября, срок 12 ноября; прежняя запись о Faspex — в том же каталоге)
Последняя проверка: 10 ноября 2026 года.
Читайте далее
- Практика: Плейбук устранения уязвимостей / Чек-лист инвентаризации активов
- Решение: Приоритизация по CVSS, EPSS и KEV
- Аутентификация и авторизация: Аутентификация и авторизация: в чём разница
- Термины: Что такое CVSS?