NetApp выпустила исправления для двух уязвимостей обхода аутентификации в системе хранения StorageGRID. Обе позволяют обратиться к внутренним интерфейсам продукта без учётной записи. Под угрозой несколько веток, в том числе установки с типовыми настройками по умолчанию. Успешная попытка даёт доступ к чувствительным сведениям. Кроме того, данные можно добавлять или изменять.
Два обхода аутентификации в NetApp StorageGRID
При этом оба уведомления о безопасности NetApp вышли в один день, 3 ноября 2026 года. Идентификаторы документов - NTAP-20261103-0001 и NTAP-20261103-0002. Обход аутентификации означает доступ к функциям продукта без предъявления учётных данных. За каждым уведомлением стоит отдельный механизм такой проверки. Поэтому закрывать нужно обе уязвимости, а не одну.
Первая из двух уязвимостей, CVE-2026-22058, затрагивает StorageGRID начиная с версии 11.3. Чтобы воспользоваться ею, атакующему нужны знания о продукте и доступ к внутренней сети Grid Network на отдельных портах. После этого он может отправлять несанкционированные запросы. Кроме того, учётные данные не требуются, участие пользователя тоже. По шкале CVSS 4.0 первая уязвимость оценена в 9.1, вторая в 6.9.
Вторая уязвимость не требует знания продукта
При этом вторая уязвимость, CVE-2026-22060, устроена проще. В типовых настройках она открывает доступ к набору API без проверки подлинности. Речь о программных интерфейсах для обмена внутри грида, а не для внешних клиентов. Атакующему не нужны ни учётные данные, ни подготовка. Влияние на конфиденциальность и целостность источник оценивает как низкое.
Для организации последствия выглядят конкретно. Источник говорит о раскрытии чувствительных сведений и о добавлении или изменении данных. Доступность при этом не страдает. В результате сбой в работе заметить трудно, а подмену данных ещё труднее. Поэтому журналы обращений к внутренним интерфейсам стоит проверять в первую очередь.
Что делать администратору
При этом обе атаки идут по сети. Учётные данные не нужны ни в одном случае, участие пользователя тоже. Для первой уязвимости дополнительно требуется знание продукта. Поэтому единственный барьер там - высокая сложность атаки. Из-за этого важно понять, какие узлы видны из чужих сегментов сети.
Затронуты StorageGRID 12.0.x до версии 12.0.0.9 и 12.1.x до 12.1.0.1. Кроме того, в список попали установки старее 11.9.0.15. Первая уязвимость касается веток с 11.3. Вторая в карточке CVE помечена как затрагивающая все версии в типовых конфигурациях. Поэтому проверять стоит любую установку, где нет трёх названных версий.
Исправления вышли в версиях 11.9.0.15, 12.0.0.9 и 12.1.0.1. Ветка 12.0.x закрыта начиная с 12.0.0.9, ветка 12.1.x с 12.1.0.1. Для более старых установок нужна версия 11.9.0.15 или новее. В карточках CVE исправленная версия не указана, поэтому ориентироваться нужно на уведомления NetApp. При этом обходных мер источник не приводит.
После установки обе уязвимости считаются закрытыми. Служебные интерфейсы снова принимают запросы только после проверки подлинности. При этом пограничные правила стоит оставить. Доступ к Grid Network и к внутренним API из чужих сегментов сети не нужен в обычной работе. Пока патч не установлен, такие связи лучше ограничить.
Проверка установок
Сведений об эксплуатации в реальных атаках нет. NetApp не знает о публичном обсуждении этих уязвимостей. Служба CISA в служебных пометках также отмечает отсутствие эксплойтов. При этом вторую уязвимость проще автоматизировать. Поэтому проверку журналов стоит провести заранее.
Сначала стоит выяснить, какие развёртывания StorageGRID есть в инфраструктуре. Затем проверяют версию каждого узла. Если установка старше 11.9.0.15, обновление обязательно. Кроме того, полезно просмотреть журналы обращений за прошлые месяцы. Так можно найти следы несанкционированных запросов.
NetApp обещает дополнять уведомления по мере появления новых данных. При этом версию бюллетеня стоит проверять повторно. Сам факт выхода исправления снимает основную часть риска. Остаётся вопрос, обновлены ли все установки. Здесь помогает обычная инвентаризация.
Ссылки
- https://security.netapp.com/advisory/NTAP-20261103-0001
- https://security.netapp.com/advisory/NTAP-20261103-0002
