BMC Helix Network Management в версиях до 26.3.01 содержит уязвимость, из-за которой локальный администратор входит в систему с любым паролем, если включён единый вход по SAML (протокол обмена данными об аутентификации между системами). Система не сверяет пароль с сохранённым значением. Затронуты организации, которые развернули продукт на собственных серверах и подключили внешнего поставщика идентификации. Права администратора открывают инвентаризацию сетевых устройств, карту топологии, оповещения и параметры опроса оборудования.
SAML, шаблоны устройств и выгрузка учётных записей
Исправление вошло в релиз 26.3.01 от 24 августа 2026 года. Сведений о реальных атаках описание релиза не содержит. Идентификатор CVE и оценку CVSS вендор не приводит, поэтому формальный уровень опасности неизвестен; судить приходится по последствиям дефектов. Обновиться предлагают через Administration > System > Updates или через обращение в BMC Helix Support.
Вход локального администратора без пароля
Встроенные учётные записи остаются в продукте как резервный способ доступа, поэтому локальный администратор есть почти в каждом развёртывании. Уязвимость превращает такую запись в точку входа без секрета: достаточно знать имя записи, а оно обычно стандартное. Ограничение одно - включённый единый вход и сетевой доступ к странице входа. Системы мониторинга редко выставляют в интернет, зато внутренний сегмент сети к ним доступ имеет. Из-за этого дефект важен прежде всего для организаций с плоским внутренним периметром, где любой сотрудник достигает интерфейса управления. В том же релизе предельную длину имени пользователя сократили до 16 символов, так что часть существующих записей придётся переименовать.
Пропуск проверки учётных данных при опросе
Ещё один дефект касается шаблонов устройств: при определённых условиях продукт пропускает проверку учётных данных. В результате мониторинг подключается к оборудованию с неверными или устаревшими данными доступа, а сообщения об ошибке не появляются. Сеть выглядит опрошенной, хотя часть метрик не поступает. Третий дефект связан с отчётами: после включения HSSO (единый вход через внешний сервер) локальные пользователи попадают в файл CSV, а записи HSSO продукт помечает как ldap. Такой файл получает каждый, у кого есть доступ к выгрузкам, и состав учётных записей перестаёт быть служебной информацией.
Остальные исправления касаются устойчивости самого мониторинга. Продукт не обрабатывал ловушки SNMP (аварийные сообщения от оборудования), часть устройств показывала время опроса 900 секунд и ошибки проверки состояния, перенос данных между узлами отказоустойчивого кластера срывался, отчёты теряли точки данных. Все эти дефекты не относятся к безопасности напрямую, однако искажают картину сети и мешают заметить реальную аварию.
Обновление до 26.3.01 закрывает перечисленные проблемы. Официальных обходных мер вендор не публикует, поэтому на время подготовки к установке разумно ограничить сетевой доступ к интерфейсу управления, отключить вход локальных учётных записей при работающем едином входе и просмотреть журналы входов за последние недели. После установки проверьте, что шаблоны устройств снова сверяют данные доступа, а выгрузки с пользователями не остаются в общих каталогах.
Обход пароля в сценарии единого входа повторяется у разных вендоров из года в год. Причина в том, что локальный вход оставляют как резервный и обрабатывают отдельной ветвью кода. Пока такие записи существуют, каждая ошибка в этой ветви даёт полный доступ к системе. Для сетевого мониторинга последствия шире обычного: в нём хранятся учётные данные оборудования и карта сети, а через них злоумышленник подбирается к самой инфраструктуре.
Ссылки
