Amerykańska agencja ostrzega przed lukami w Nextcloud i Arista VCO

black laptop computer turned on with green screen — Moritz Erken / Unsplash

Amerykańska Agencja ds. Bezpieczeństwa Infrastruktury Cybernetycznej, CISA, wydała ostrzeżenie dotyczące dwóch podatności, których aktywne wykorzystywanie zostało potwierdzone.

Do katalogu znanych podatności wykorzystywanych w atakach dodano lukę CVE-2026-110447 w dodatkowej aplikacji Built-in CODE Server, dostarczanej przez Collabora dla systemu Nextcloud. Jest to błąd typu wstrzykiwanie poleceń systemu operacyjnego. Istnieje ryzyko, że w sytuacji, gdy wbudowany serwer edycji dokumentów nie jest uruchomiony, osoba nieuprawniona może zdalnie wykonać dowolne polecenia systemu operacyjnego bez konieczności uwierzytelnienia, przesyłając specjalnie przygotowane żądanie.

Producent udostępnił wersję 26.4.303, która naprawia ten problem. Wskazano, że samo wyłączenie aplikacji nie stanowi wystarczającej ochrony, dlatego zaleca się aktualizację oprogramowania lub całkowite usunięcie aplikacji.

Drugą zidentyfikowaną luką jest CVE-2026-114625, dotycząca produktu VeloCloud Orchestrator firmy Arista Networks, który służy do zintegrowanego zarządzania sieciami w środowiskach SD-WAN. Jest to podatność typu wstrzykiwanie SQL. Aby z niej skorzystać, napastnik musi posiadać dostęp do panelu administracyjnego oraz uwierzytelnioną sesję. Wykorzystanie tego błędu pozwala na podniesienie uprawnień i uzyskanie dostępu do funkcji zarządzania przeznaczonych do użytku wewnętrznego.

CISA wyznaczyła amerykańskim agencjom rządowym termin na rozwiązanie tych problemów do 26 października. Agencja wymaga, aby w ramach działań naprawczych nie tylko wyeliminowano podatności, ale także przeprowadzono dochodzenie w celu sprawdzenia, czy nie doszło do naruszenia bezpieczeństwa.