Mitel сообщил об уязвимостях в компоненте Node-RED продукта OpenScape Endpoint Management. Node-RED - среда визуального программирования, в которой потоки обработки данных собирают из готовых блоков. В уведомлении Mitel Product Security Advisory MISA-2026-0009 разобраны обход аутентификации и повышение привилегий. Затронуты версии V1 R2.4.0 и более ранние, исправление вошло в V1R2.5.1.
Обход проверки подлинности и избыточные права в Node-RED
Уязвимость MTLVULN-1788 позволяет обойти аутентификацию, то есть проверку подлинности пользователя. Причина - недостаточная проверка адресов перенаправления и некорректная настройка механизмов аутентификации. Злоумышленник без учётной записи получает доступ к Node-RED, а при удачной эксплуатации - административные права в этом компоненте. Для успеха нужно участие пользователя, он должен перейти по подготовленной ссылке. При этом атака идёт по сети, сложность низкая, учётные данные не нужны. Оценка по шкале CVSS 3.1 - 8.8 из 10, уровень High. CVSS - общая система оценки уязвимостей.
Уязвимость MTLVULN-1789 ведёт к повышению привилегий, то есть к получению прав выше выданных. Она затрагивает тот же компонент Node-RED. Администратор может выполнить произвольные команды с повышенными правами. Причина в том, что один из ресурсов запускается с избыточными правами. При этом атака идёт по сети, нужны права администратора, участие пользователя не требуется. Оценка - 7.2 из 10, уровень High.
Идентификаторы MTLVULN-1788 и MTLVULN-1789 внутренние. CVE вендор запросил, однако номер пока не назначен. CVE - общий идентификатор уязвимости, по которому её сопоставляют в разных базах. Поэтому в уведомлении нет CVE-идентификаторов, а следить за присвоением нужно по обновлениям документа. Версия документа - 1.0, первая редакция от 28 октября 2026 года. Сведений об эксплуатации в реальных атаках нет, о публичном эксплойте источник тоже не сообщает.
Детали эксплуатации вендор не раскрывает. В уведомлении нет ни описания сценария атаки, ни указаний на настройки Node-RED, которые снижают риск. Сценарий обхода аутентификации строится вокруг ссылки, которую получает пользователь, остальные шаги не описаны. Такие сведения может содержать статья базы знаний KB000128955. Если доступа к ней нет, вендор предлагает обращаться к авторизованному партнёру Mitel. Какая версия Node-RED входит в состав продукта, источник не сообщает.
Исправление доступно в OpenScape Endpoint Management V1R2.5.1 и последующих выпусках. Mitel рекомендует обновиться до последнего релиза. Обходных мер в уведомлении не приводится, единственное предложенное действие - переход на исправленную версию. Для версий V1 R2.4.0 и более ранних других исправлений вендор не приводит. Уведомление относится только к поддерживаемым версиям, продукты с завершённой поддержкой вендор не рассматривает.
Французский бюллетень Bulletin de sécurité Mitel 2026-0009 относит эти проблемы к обходу политики безопасности и повышению привилегий. Обход политики безопасности означает выход за правила, заданные администратором. Собственных патчей бюллетень не предлагает и отсылает к уведомлению вендора. Там же сказано, что затрагивает продукт в версиях до V1R2.5.1. Датирует он уведомление вендора 21 октября 2026 года, тогда как сам Mitel указывает первую редакцию 28 октября 2026 года.
Для организаций, где Node-RED в составе OpenScape Endpoint Management доступен из сети, обновление имеет приоритет. Обход аутентификации не требует учётных данных, поэтому внешний злоумышленник может добраться до компонента первым. Повышение привилегий доступно только после входа администратором и служит вторым шагом. Обновление до V1R2.5.1 закрывает уязвимости, описанные в уведомлении. Сведений о применении уязвимостей до выпуска исправления в источниках нет. Если компонент недоступен из сети, риск ниже, но обновление остаётся единственной предложенной мерой.
Ссылки
