Ivanti Xtraction в версиях 2026.2.1 и более ранних содержит пять уязвимостей разной степени опасности. Одна классифицирована как критическая: обладатель обычной учётной записи уводит учётные данные коннектора EPMM, то есть соединительного модуля, через который продукт обменивается данными с соседними системами. Другая обходится без входа в систему, поэтому создать или изменить доверенный сайт может любой, у кого есть сетевой доступ к приложению. Ещё две связаны с обходом каталогов, пятая касается паролей к базе SQL, оседающих в журналах. Сведений об эксплуатации в реальных атаках у Ivanti нет. Все пять проблем исправлены в версии 2026.4.
Пять уязвимостей Ivanti Xtraction и обновление до 2026.4
Ошибка в обработке пути и утечка учётных данных
Главная угроза проходит под номером CVE-2026-106042 и оценивается в 9,9 балла из 10 по шкале CVSS. Приложение разрешает внешнее управление именем файла и путём. Из-за этого запросы уходят на подконтрольный атакующему адрес. Вместе с трафиком утекают учётные данные коннектора EPMM, а они открывают доступ к соседнему сегменту инфраструктуры. Область воздействия выходит за границы одного компонента, чем и объясняется высокий рейтинг. Административные права не нужны, хватает рядовой учётной записи.
Подмена доверенного сайта без аутентификации
Вторая заметная уязвимость, CVE-2026-106043, получила 7,5 балла. Критичная функция не проверяет подлинность запроса. Вход в систему не требуется, поэтому хватает одного сетевого обращения. Атакующий создаёт доверенный сайт или правит уже имеющийся. Доверенный список определяет, каким адресам приложение отдаёт предпочтение при работе. Порог входа здесь самый низкий из всех пяти: ни пароля, ни подготовки.
Обход каталогов в двух местах
Две уязвимости позволяют выйти за пределы разрешённых каталогов; такой класс ошибок называют обходом каталогов. Обе требуют учётной записи. Первая, с рейтингом 5,0, даёт создавать и изменять произвольные каталоги в файловой системе хоста. Вторая, 7,7, работает через экспорт шаблонов и открывает чтение любых файлов, доступных приложению. Поэтому в зону риска попадают файлы настроек и подготовленные отчёты. Утечка затрагивает не только сам Xtraction, но и данные, которые через него проходят.
Пароли SQL в журналах приложения
Пятая уязвимость уровня Medium (средняя) затрагивает компонент Xtraction Cloud Sync. Журнал приложения сохраняет фрагменты паролей к базе SQL. Обладатель учётной записи вычитывает их оттуда. Рейтинг 5,5. Собрать полный пароль из фрагментов не получится, однако секреты вообще не должны попадать в текстовые журналы. Часть строки сокращает объём работы для атаки полным перебором.
Что делать администраторам
В версии 2026.4 этих ошибок нет. Дистрибутив доступен через ILS. Проверьте журналы Cloud Sync на посторонние записи. Если обновление откладывается, ограничьте доступ к Xtraction доверенными сегментами сети и выделенными учётными записями. Наблюдайте за исходящими запросами приложения: обращение к незнакомому адресу указывает на использование первой уязвимости. Вопросы по установке принимают через Ivanti Innovators Hub.
Xtraction связывает между собой системы управления ИТ-инфраструктурой, поэтому ошибки в обработке путей бьют по учётным данным соседних продуктов. Релиз 2026.4 закрывает сразу пять проблем, и самая простая из них не требует ни пароля, ни подготовки. Публичного эксплойта пока нет, значит, окно для обновления открыто. Промедление расширяет возможности для того, кто попробует подмену доверенного сайта первым.
Ссылки
