В серверной платформе Thermo Fisher Torrent Suite Software есть уязвимость обхода пути. Пользователь, который уже прошёл проверку подлинности, может читать через неё произвольные файлы на сервере Torrent. Набор доступного ограничен правами учётной записи, под которой работает веб-служба. Проблема затрагивает версии 5.18 и более ранние, исправление появилось в 5.22. Платформа обслуживает лабораторное оборудование Thermo Fisher и развёрнута по всему миру, в том числе в организациях здравоохранения.
Уязвимость CVE-2026-107777 в лабораторной платформе Thermo Fisher
Обход пути относится к классу CWE-22. Злоумышленник подставляет в запрос путь, который выводит сервер за пределы разрешённого каталога. Вместо ожидаемого файла служба отдаёт тот, что лежит в другой папке. Для такой операции нужны действующие учётные данные, без входа в систему приём не сработает. Участие самого пользователя при этом не требуется.
Оценки по двум версиям CVSS разошлись. По методологии CVSS 3.1 уязвимость получила 6.5, это средний уровень. В версии CVSS 4.0 базовая оценка выше, 7.1, уровень высокий. Вектор описывает атаку по сети с низкой сложностью. Учётные данные нужны, зато последствия ограничены конфиденциальностью. Целостность и доступность файлов не страдают.
Уведомление об уязвимости CISA опубликовала 15 октября 2026 года. Нашли её исследователи Akanksha Raghvesh и Abhinav Agarwal и передали данные в агентство. Сведений о реальных атаках с использованием этой уязвимости пока нет. Отсутствие публичных средств эксплуатации снижает срочность, но не отменяет необходимости закрыть дыру.
Лабораторный сервер хранит служебные данные, журналы и файлы настроек. Среди них могут оказаться сведения о смежных системах и внутренних учётных записях. Чтение таких файлов от имени веб-службы даёт злоумышленнику опору для следующих шагов. Сами файлы при этом не меняются, однако раскрытая информация остаётся раскрытой.
Атака требует действующего доступа, поэтому угроза исходит в первую очередь от внутреннего нарушителя. Служебная запись, попавшая в чужие руки, тоже открывает этот путь. К тому же в плохо изолированной сети получить учётные данные несложно. Обращение к серверу идёт по сети, а значит, риск растёт у всех, кто выставляет платформу наружу или держит её в общей сети вместе с офисными машинами.
Thermo Fisher закрыла проблему в версии 5.22. Всем, у кого развёрнута 5.18 или более старая сборка, нужно перейти на неё. Вендор выпустил бюллетень с техническими деталями. Обновление здесь - не формальность: установленная поверх сборка закрывает саму возможность чтения чужих файлов, тогда как ограничения сети и учётных записей лишь сужают круг тех, кто может этим воспользоваться.
Пока обновление не установлено, серверу не место в интернете. Разместите его за межсетевым экраном и отделите от корпоративной сети. Удалённый доступ организуйте через VPN (виртуальная частная сеть) и следите за свежестью её компонентов. VPN защищает ровно настолько, насколько защищены подключённые к ней устройства. CISA советует сначала просчитать, как ограничения отразятся на рабочих процессах лаборатории, и только потом внедрять их.
Полезно проверить и учётные записи. Веб-служба не должна работать под пользователем с избыточными правами, иначе обход пути отдаёт злоумышленнику гораздо больше файлов. Пароль служебной записи стоит сменить, если к платформе имели доступ подрядчики или временные сотрудники. Журналы обращений к серверу помогут понять, пытался ли кто-то выйти за пределы разрешённых каталогов.
Лабораторное оборудование всё плотнее связано с сетью, а его программная часть обновляется медленнее офисной. Обход пути не выглядит громкой угрозой, но именно такие уязвимости открывают доступ к файлам, которых не должен видеть даже вошедший пользователь. Проверить сетевую доступность лабораторных серверов и порядок выдачи учётных записей здесь не менее важно, чем установить патч.
Ссылки
