34 уязвимости в Brocade Fabric OS позволяют обойти аутентификацию и выполнить команды с правами root

Коммутаторы и директоры Fibre Channel под управлением Brocade Fabric OS обслуживают сети хранения данных в банках, у операторов связи и в промышленных компаниях. В этой операционной системе обнаружили 34 уязвимости. Оценки по CVSS v4 расходятся от 2.1 до 8.6. Исправленные сборки - 9.2.2d и 10.0.1. Уязвимы выпуски младше 9.2.2d, а также ветка 10.0.0 вплоть до 10.0.0a1. Через управляющие интерфейсы злоумышленник запускает команды с правами root, сбрасывает пароли администратора и инициирует перезагрузку коммутатора. Управляющие интерфейсы таких устройств связаны с рабочей сетью хранения, поэтому успешная атака затрагивает не только панель настроек, но и доступ к данным.

Уязвимые компоненты Brocade Fabric OS и сборки с исправлениями

Чаще всего в бюллетенях фигурирует внедрение команд. Оно встречается в REST API, в интерфейсе WebTools, в подсистеме управления сертификатами, в утилитах командной строки и в модуле системного журналирования. Причина почти везде одна: значения, которые задаёт администратор, уходят в оболочку без проверки. Достаточно одного параметра со служебными символами, чтобы запустить произвольную команду с правами root. По этой схеме работают загрузка конфигурации через удалённый профиль в WebTools и настройка узлов SSH в REST API. Самую высокую оценку в наборе получила CVE-2026-87666 - 8.6 за внедрение команд при настройке часового пояса. Большая часть таких сценариев требует административной учётной записи.

Атака не всегда требует учётных данных. Часть уязвимостей лежит в коде, который разбирает запросы до проверки подлинности. Одна из них, CVE-2026-94585, открывает путь в веб-интерфейс платформы MXG610 через незакрытый узел в схеме единого входа. Злоумышленнику достаточно находиться в той же сети. Другая уязвимость в обработке ключей IKEv2 роняет процесс обработки данных единственным пакетом UDP на 500-й порт. К тому же отдельная проблема в управляющем демоне валит его одним запросом с экстремальным числовым значением в строке параметров.

Внедрение команд и разграничение прав

Ещё одна группа уязвимостей касается разграничения прав. В подсистеме AAA ответ внешнего поставщика учётных данных с особыми атрибутами обходит проверку административной роли. Речь идёт о RADIUS, LDAP, TACACS+ и федеративных поставщиках. Похожим образом устроен обход в интерфейсе командной строки и в веб-фреймворке: сессия получает полномочия, которых у неё быть не должно. Отдельная уязвимость позволяет скомпрометированному коммутатору отправлять служебные запросы Fibre Channel в обход аутентификации. В результате он сбрасывает пароли и запускает загрузку прошивки на соседнем устройстве. Уязвимость в управляющем демоне даёт локальному процессу возможность зарегистрировать чужую сессию с административными правами.

Переполнения, утечки и отказы

Переполнения буфера затрагивают разбор сертификатов, обработку списка портов при транкинге, диагностические утилиты и внутренние процедуры протокола FSPF. Часть таких уязвимостей приводит к падению службы, часть допускает выполнение кода. Диагностический модуль ядра принимает привилегированные аппаратные тесты от непривилегированного пользователя. Тот может перезагрузить модуль коммутатора или нарушить работу сети хранения. Через REST API с правами на работу с USB-накопителями можно удалить произвольные файлы и каталоги в локальной файловой системе устройства. Утечки данных тоже нашлись. Например, диагностический пакет для службы поддержки содержит учётные данные прокси в открытом виде. Другой узел REST API отдаёт данные мониторинга по всем логическим коммутаторам пользователю без нужных прав. Две уязвимости синхронизации получили низкую оценку 2.1. Они ведут к неверным записям в журнале аудита и к искажению проверок по IP-адресу клиента. К тому же уязвимость в настройке веб-сервера не даёт управляющему интерфейсу запуститься, и служба остаётся недоступной.

Что делать администраторам

Обновление до 9.2.2d или 10.0.1 закрывает весь список. При переходе с ветки 10.0.0 нужна именно сборка 10.0.1. Управляющие интерфейсы разумно держать в отдельном сегменте сети и не выставлять наружу. Продукты Brocade SANnav и ASCG эти уязвимости не затрагивают, поэтому отдельного обновления для них не требуется.

Разработчики помечают все перечисленные уязвимости как найденные с помощью ИИ-инструментов. Автоматический анализ больших кодовых баз ускоряет поиск однотипных уязвимостей, и потому крупные пачки исправлений выходят всё чаще. Для сетей хранения данных следствие простое: разрыв между публикацией исправления и обновлением коммутаторов сокращать не стоит.

Уязвимые компоненты Brocade Fabric OS и сборки с исправлениями

Внедрение команд и разграничение прав

Что делать администраторам

Ссылки