Adobe Connect: десять уязвимостей из ноябрьского бюллетеня, включая пять с оценкой 10,0

Adobe выпустила ноябрьское обновление безопасности для Adobe Connect. В Банке данных угроз ФСТЭК России появились десять записей об этих ошибках: пять уязвимостей получили оценку 10,0 по CVSS 3.1 и позволяют удалённо повысить привилегии или выполнить код, ещё пять инъекций с оценкой 9,9 дают выполнение кода при низких привилегиях. Уязвимы версии 12.12 и более ранние, исправления вышли в сборках 12.12.a, 12.11.i, 12.10.f, 12.9.a и 12.8.a.

Что известно об ошибках Adobe Connect

Условия эксплуатации

Все десять ошибок эксплуатируются по сети: атакующему нужен доступ к интерфейсу Adobe Connect, но не нужен физический контакт с системой. Для пяти уязвимостей с оценкой 10,0 не требуются ни учётная запись, ни действия пользователя. В карточках CVSS у них отмечена смена области воздействия, то есть последствия выходят за пределы уязвимого компонента.

Пять инъекций с оценкой 9,9 требуют учётной записи с низкими привилегиями, например обычного участника совещаний или оператора. Это снижает порог, но не делает атаку сложной: такие учётные записи часто бывают общими на отдел и не защищены вторым фактором.

Пять ошибок с оценкой 10,0

Две записи описывают SSRF, CWE-918: CVE-2026-121889 (BDU:2026-18883) и CVE-2026-121356 (BDU:2026-18884). Сервер выполняет запрос по адресу, который передал атакующий, и через это получает доступ к внутренним ресурсам. В описании последствие указано как повышение привилегий.

CRLF-инъекция CVE-2026-121353 (BDU:2026-18885), CWE-93, позволяет внедрить в ответ управляющие последовательности и выполнить код в контексте текущего пользователя. БДУ описывает последствие как повышение привилегий.

Недостаток авторизации CVE-2026-121352 (BDU:2026-18888), CWE-863, открывает доступ к ресурсам, которые текущей роли не предназначены. Обратная по смыслу ошибка - обход пути CVE-2026-121351 (BDU:2026-18890), CWE-22: чтение файлов за пределами разрешённого каталога; в БДУ последствие тоже указано как повышение привилегий.

Пять инъекций с оценкой 9,9

Четыре записи - SQL-инъекции, CWE-89: CVE-2026-121908 (BDU:2026-18872), CVE-2026-121898 (BDU:2026-18875), CVE-2026-121896 (BDU:2026-18876) и CVE-2026-121894 (BDU:2026-18877). Пользователь с низкими привилегиями дописывает конструкции в SQL-запрос, а затем выполняет произвольный код в контексте текущего пользователя.

Пятая инъекция - CVE-2026-121892 (BDU:2026-18880), CWE-94, ошибка управления генерацией кода: приложение собирает исполняемый код из входных данных и не проверяет, что в них оказалось. Результат тот же - выполнение произвольного кода при низких привилегиях.

Что исправил вендор

Adobe оценила обновление как приоритет 2 и указала четыре класса последствий: повышение привилегий, выполнение произвольного кода, раскрытие памяти и чтение файлов. Последнее соответствует path traversal, а раскрытие памяти может дать дополнительные сведения о внутреннем устройстве сервера.

Все десять записей в БДУ помечены как устранённые, данные об эксплуатации в реальных атаках в источнике не приводятся. Adobe отдельно сообщает, что ей неизвестно об эксплуатации этих ошибок. Это не отменяет срочности: детали бюллетеня публичны, а уязвимая версия остаётся рабочей до обновления.

Затронутые версии

Уязвимы Adobe Connect 12.12 и более ранние сборки на Windows. Исправления вышли в версиях 12.12.a, 12.11.i, 12.10.f, 12.9.a и 12.8.a. Номер исправленной сборки зависит от установленной ветки, поэтому сверять нужно и версию продукта, и номер сборки в консоли администратора.

Отдельного внимания требуют стенды разработки, тестовые и резервные инсталляции. Они реже попадают в инвентаризацию, но часто используют те же учётные данные и те же сертификаты, что и продуктивный контур.

Чем это грозит

Adobe Connect хранит записи совещаний, документы, списки участников и настройки интеграций. Через него подключают внешние сервисы, каталоги и системы записи встреч. Компрометация сервера открывает доступ к этим данным, а в корпоративной сети даёт точку опоры для дальнейших действий.

Для организаций с собственным развёртыванием риск выше: сервер стоит внутри периметра, и SSRF или обход пути превращают его в трамплин для обращений к внутренним ресурсам, которые снаружи недоступны. Утечка записей совещаний и документов часто означает и нарушение требований к защите персональных данных.

Если обновиться нельзя

Полностью компенсировать SSRF, обход пути и инъекции без исправления не получится. Промежуточные меры снижают вероятность эксплуатации, но не устраняют ошибку.

Закройте интерфейс Adobe Connect из недоверенных сетей. Оставьте только адреса и сегменты, откуда действительно работают администраторы и организаторы совещаний. Уберите публикацию консоли в интернет, если она там есть, и ограничьте исходящие соединения сервера: SSRF и path traversal проявляются именно в нехарактерных сетевых запросах и чтении файлов.

Пересмотрите права учётных записей. Отключите неиспользуемые аккаунты, ограничьте время жизни сессий, включите многофакторную аутентификацию на уровне внешнего шлюза. Это усложняет путь для пяти инъекций, но не помогает против ошибок с оценкой 10,0.

Как проверить, что риск закрыт

Проверьте все экземпляры Connect, включая тестовые, резервные и забытые копии. Сверьте сборку с исправленными версиями 12.12.a, 12.11.i, 12.10.f, 12.9.a и 12.8.a.

Просмотрите журналы веб-сервера на необычные запросы к серверным компонентам Connect и на обращения к внутренним адресам, которые не используются в штатной работе. Проверьте журналы приложения на ошибки SQL и на запуск нехарактерных процессов от имени службы Connect.

Если экземпляр был доступен из интернета и оставался на уязвимой сборке, считайте учётные записи и ключи интеграций потенциально скомпрометированными. Их нужно сменить.