Критическая уязвимость в языке Adept Workflow: удалённое выполнение кода без аутентификации

В Банке данных угроз безопасности информации (BDU) была зарегистрирована новая критическая уязвимость, получившая идентификатор BDU:2026-09742 (CVE-2025-32958). Проблема обнаружена в языке программирования Adept Workflow - инструменте, который используется для создания автоматизированных бизнес-процессов и интеграции корпоративных систем. Уязвимость затрагивает все версии Adept Workflow вплоть до 2.8 включительно, а её эксплуатация уже подтверждена производителем. Более того, в открытом доступе найден готовый код эксплуатации, что существенно повышает риски для организаций, применяющих этот язык.

Детали уязвимости

Adept Workflow не является узкоспециализированным решением для одной индустрии. Его применяют в логистике, банковском деле, государственных информационных системах и даже в промышленной автоматизации. Любая компания, использующая этот язык для построения рабочих процессов, теперь должна срочно оценить свою защищённость. Критический уровень опасности подтверждается и формальными метриками: базовый вектор по системе оценки критичности уязвимостей CVSS версии 3.1 составил 9,8 балла из 10. Это означает, что атака не требует ни специальных привилегий, ни взаимодействия с пользователем, а последствия оцениваются как полная компрометация конфиденциальности, целостности и доступности данных.

Уязвимость связана сразу с двумя типами ошибок, классифицированными по международному перечню CWE. Первая - это раскрытие информации (CWE-200). Вторая, более конкретная, - недостаточная защита регистрационных данных (CWE-522). Что это значит на практике? При обработке пользовательских запросов система Adept Workflow ненадлежащим образом защищает учётные записи, их пароли и, возможно, сессионные токены. Злоумышленник, действующий удалённо, может отправить специально сформированный запрос и получить доступ к этим данным. А имея в руках регистрационные данные, он способен выполнить произвольный код на сервере. То есть атакующий может не просто украсть информацию, но и запустить свою программу, установить скрытый удалённый доступ (backdoor) или полностью уничтожить системы.

Важно подчеркнуть, что для эксплуатации не нужна аутентификация. Любой HTTP-запрос к уязвимому серверу может быть использован. Поскольку Adept Workflow часто развёртывается в корпоративной сети и может иметь интерфейсы для внешних пользователей, точка входа для атакующего становится очевидной. Наличие готового эксплойта в открытом доступе означает, что даже неопытный хакер может повторить атаку, используя опубликованный код.

Уязвимость подтверждена производителем, и на момент публикации уже выпущено обновление. Вендор - сообщество свободного программного обеспечения, развивающее Adept Workflow. В официальном бюллетене безопасности на GitHub предлагается обновить систему до версии, в которой ошибка исправлена. Конкретный коммит закрывает уязвимость путём усиления проверок при обработке аутентификационных данных. Однако процесс обновления не всегда проходит быстро. Корпоративные среды часто обновляют программное обеспечение с задержкой, а некоторые версии могут быть кастомизированы, что затрудняет применение патча.

Каковы реальные риски для бизнеса? В случае успешной атаки злоумышленник получает полный контроль над сервером, где установлен Adept Workflow. Через него он может проникнуть в смежные системы, если не настроена сегментация сети. Например, атака может привести к утечке баз данных клиентов, остановке процессов обработки заказов или даже к встраиванию программ-вымогателей (ransomware). Последние, получив доступ к критической инфраструктуре, способны зашифровать файлы и потребовать выкуп. Учитывая, что Adept Workflow используется в автоматизации, простаивание таких систем может обернуться многомиллионными убытками.

Прежде всего, необходимо как можно скорее проверить версию Adept Workflow в своей организации. Если она ниже 2.8, то система уязвима. Рекомендуется выполнить обновление до последней стабильной версии, следуя инструкциям из официального репозитория на GitHub. В качестве временной меры, если немедленное обновление невозможно, стоит ограничить доступ к серверам Adept Workflow по сети: закрыть все внешние порты, кроме строго необходимых, и настроить межсетевой экран на приём запросов только от доверенных IP-адресов. Также полезно усилить мониторинг событий безопасности: обращать внимание на подозрительные попытки аутентификации и нестандартные HTTP-запросы к серверу.

Кроме того, не стоит полагаться только на исправление от вендора. Уязвимость указывает на архитектурные проблемы в защите регистрационных данных. Стоит провести аудит собственных конфигураций: возможно, в системе используются слабые пароли или не настроена многофакторная аутентификация. Такие меры помогут снизить риски даже при наличии неисправленных багов в самом языке.

Обнаруженная уязвимость в Adept Workflow - яркий пример того, как ошибка проектирования в системе управления регистрационными данными может привести к полной компрометации сервера. Критический рейтинг CVSS 9,8, наличие готового эксплойта и отсутствие необходимости в аутентификации делают эту проблему одной из приоритетных для устранения. Организациям, использующим этот инструмент, следует немедленно заняться обновлением, а также пересмотреть общую архитектуру безопасности. В условиях растущего числа атак на цепочки поставок программного обеспечения любая отсрочка может стоить компании репутации и финансов.

Детали уязвимости

Ссылки