Критическая уязвимость в UISP от Ubiquiti позволяет злоумышленникам получить полный контроль

В конце июня 2025 года была подтверждена критическая уязвимость в программной платформе для управления сетевым оборудованием Ubiquiti UISP. Проблема, получившая идентификаторы BDU:2026-00256 и CVE-2025-24290, связана с недостаточной защитой от внедрения SQL (SQL injection). Согласно базовым оценкам CVSS 3.1, её уровень опасности достигает максимальных 9.9 баллов, что классифицирует её как критическую. Таким образом, успешная эксплуатация может позволить атакующему, имеющему первоначальный доступ к системе с правами обычного пользователя, полностью захватить контроль над сервером UISP.

Детали уязвимости

Уязвимость затрагивает все версии UISP до 2.4.211. Платформа UISP широко используется интернет-провайдерами и сетевыми администраторами для централизованного управления устройствами Ubiquiti, включая точки доступа, маршрутизаторы и коммутаторы. Суть проблемы, отнесённой к классу CWE-89, заключается в неправильной обработке пользовательского ввода, который используется для формирования SQL-запросов к базе данных приложения. Следовательно, злоумышленник может внедрить в эти запросы произвольные команды.

Механизм эксплуатации уязвимости основан на технике инъекции. Атакующий, уже авторизованный в системе с низкоуровневыми привилегиями, может отправить специально сформированный запрос. В результате этот запрос позволяет выполнить произвольные команды SQL от имени приложения, что ведёт к повышению привилегий до уровня администратора. Поскольку оценка CVSS 3.1 включает высокие показатели по воздействию на конфиденциальность (C:H), целостность (I:H) и доступность (A:H), а также учитывает возможность воздействия на другие компоненты системы (S:C), последствия взлома могут быть катастрофическими. Например, злоумышленник может изменить конфигурации всей сети, перехватить трафик, украсть учётные данные или дестабилизировать работу инфраструктуры.

Важно отметить, что для проведения атаки требуется наличие учётной записи в системе (PR:L), однако удалённое выполнение (AV:N) не требует взаимодействия с пользователем (UI:N). Несмотря на то что наличие готового эксплойта в открытом доступе пока не подтверждено, публикация деталей уязвимости увеличивает риск её скорейшего использования злоумышленниками. В частности, группы, специализирующиеся на программах-вымогателях, могут быть заинтересованы в подобных уязвимостях для получения устойчивого доступа (persistence) в корпоративных сетях.

Производитель Ubiquiti Networks оперативно отреагировал на обнаруженную проблему. Уязвимость была устранена в обновлении UISP версии 2.4.211. Соответственно, единственной рекомендованной мерой защиты является немедленное обновление программного обеспечения до актуальной версии. Все подробности содержатся в официальном бюллетене безопасности компании (Security Advisory Bulletin 048-048). Администраторам необходимо проверить все установленные экземпляры UISP и применить патч без задержки. Кроме того, в качестве дополнительной меры предосторожности стоит рассмотреть принцип минимальных привилегий для учётных записей и обеспечить сегментацию сети, чтобы ограничить потенциальный ущерб от возможного взлома.

Данный инцидент в очередной раз подчёркивает важность регулярного обновления программного обеспечения, особенно в критически важных системах управления инфраструктурой. Уязвимости, связанные с внедрением SQL, остаются одной из самых распространённых и опасных угроз, несмотря на давно известные методы защиты. Эксперты по кибербезопасности рекомендуют организациям, использующим UISP, не ограничиваться установкой обновления, но и провести аудит журналов на предмет возможных признаков компрометации за прошедшие несколько недель. В заключение, оперативное применение исправлений остаётся ключевым элементом защиты от подобных критических угроз в современном цифровом ландшафте.

Детали уязвимости

Ссылки