Три компонента IBM QRadar допускают отказ в обслуживании и выполнение кода через Qpid Proton-J, Next.js и libheif

Три компонента IBM QRadar получают исправления к десяткам уязвимостей в сторонних библиотеках. Затронуты интеграция QRadar SIEM с Microsoft Azure Event Hub, приложение User Entity Behavior Analytics и плагин Log Management AQL. Большая часть проблем ведёт к отказу в обслуживании, но встречаются и сценарии тяжелее: выполнение чужого кода при обработке изображений и утечка ключа шифрования. IBM опубликовала три бюллетеня 2 и 5 октября 2026 года и советует обновляться без задержек.

Детали уязвимостей

Модуль сопряжения с Azure Event Hub стоит на входе в систему аналитики и принимает события из облачной шины Microsoft. Внутри работает библиотека Apache Qpid Proton-J, реализующая протокол AMQP (стандарт обмена сообщениями между приложениями). В версиях по 0.34.1 включительно нашли шесть уязвимостей. Три из них не требуют аутентификации и оцениваются в 7,5 балла по шкале CVSS. Первая связана с неограниченным кэшированием значений символов, вторая с обработкой размера и количества типов, третья с вложенностью типов, из-за которой переполняется стек вызовов. Любая из них позволяет удалённо истощить память или процессор.

Остальные три уязвимости Proton-J требуют действующей учётной записи и имеют оценку 6,5. Одна даёт превысить окно управления потоком данных в сессии, вторая пропускает служебный кадр с огромными или недопустимыми диапазонами и надолго занимает процессор. Третья связана с отсутствием ограничения на число передаваемых кадров в одном сообщении. Исправление вышло в Qpid Proton-J 0.35.0, IBM собрала пакеты для QRadar 7.5 и 7.6. Они приходят вместе с QRadar Auto Update, если тот включён. Уязвимы сборки интеграции по 20260604074722 включительно. Обходных путей производитель не предлагает.

Второй бюллетень касается приложения User Entity Behavior Analytics, которое ищет отклонения в поведении пользователей. Список здесь длиннее и пестрее, потому что продукт тянет за собой целый набор библиотек. Досталось jQuery: несколько старых дыр с межсайтовым скриптингом (XSS, внедрение чужого сценария в страницу) тянутся с версий до 3.5.0. Примерно тем же болеет фильтр разметки DOMPurify, который как раз должен вычищать опасный код. В нём нашли около десятка способов обойти очистку, включая загрязнение списка разрешённых атрибутов и сохранение обработчиков событий на уже удалённых узлах. Оценки колеблются от 5,1 до 7,2.

Заметно выделяется Next.js. На серверах под Windows обработчик путей не экранирует обратные слеши, поэтому запрос с кодированными разделителями выходит за пределы каталога кэша и раскрывает служебные данные сборки. Среди них ключ шифрования манифеста, а его утечка открывает дорогу к удалённому выполнению кода. Оценка 9,0, идентификатор CVE-2026-75604. Рядом идут обход аутентификации в промежуточном программном обеспечении при сборке через Turbopack, подделка запросов на стороне сервера (SSRF, обращение сервера к внутренним адресам по указанию атакующего) и утечка ответов из кэша.

Не отстают другие зависимости. В Immutable.js пустой список уходит в бесконечный цикл, а ключи с одинаковым хешем сбиваются в одну корзину и тормозят работу. В pyasn1 разбор данных в формате BER (правила кодирования ASN.1) занимает квадратичное время и выматывает процессор. Библиотека fast-uri разбирает адреса иначе, чем встроенный механизм Node.js, поэтому проверки хостов и защита от SSRF обходятся. PostCSS по ссылке внутри стилей читает произвольные файлы карт исходников. form-data не экранирует перевод строки в имени поля, и через это можно подмешать лишние заголовки или целые части составного запроса. nanoid при нулевом либо отрицательном размере зацикливается, а переполнение 32-битного счётчика ломает генератор случайных чисел, после чего все токены сессий превращаются в одну и ту же строку. axios страдает от загрязнения прототипа объекта, рекурсии при разборе имён полей и обхода правил NO_PROXY для адреса 0.0.0.0.

Отдельная история - sharp с библиотекой libheif, которую Next.js использует для сжатия картинок. Обработка вредоносного файла AVIF приводит к выполнению кода, оценка доходит до 10. Второй набор ошибок в той же библиотеке тянет на 9,3 и тоже грозит выполнением кода на системах с glibc. До выхода исправления Next.js просто отключил оптимизацию AVIF. Пострадавшим предлагают версию приложения 6.0.1, уязвимы выпуски с 1.0.0 по 6.0.0.

Третий бюллетень посвящён плагину Log Management AQL, который добавляет в QRadar язык запросов к журналам. Здесь всего две проблемы, зато обе заметные. Первая - разыменование пустого указателя в библиотеке kin-openapi. Если клиент пришлёт составной запрос multipart/form-data с полем неверного скалярного типа, приложение попытается отрисовать ошибку проверки и упадёт. Повторяя такие запросы, любой желающий без учётной записи выводит сервис из строя, оценка 7,5. Запросы в формате JSON и сборки, не показывающие подробности ошибок, не задеты.

Вторая проблема пришла из Grafana. Пользователь с правами редактора или доступом на запись к внешним оповещениям может создать алерт с подконтрольной ссылкой-источником. Grafana выводит её как обычную кнопку, не проверяя схему адреса. Уловка с размещением последовательности :// внутри комментария на JavaScript обходит перехватчик кликов, и при щелчке сценарий атакующего выполняется в домене Grafana с правами нажавшего. Оценка 6,8. Для плагина вышла версия 1.1.9, уязвимы выпуски с 1.0.0 по 1.1.8.

Картина для платформ класса SIEM (систем управления событиями и информацией о безопасности) предсказуема. Аналитика строится поверх десятков чужих библиотек, и каждая приносит свои слабости. Основную массу свежих проблем составляет отказ в обслуживании: такую атаку легко запустить, а заметить трудно. Тревожнее выглядят выполнение кода через обработку изображений и утечка ключа шифрования в Next.js. Они превращают ошибку в настройках в полноценный захват. Практический шаг один: обновить плагин до 1.1.9, приложение до 6.0.1, а пакеты для Azure Event Hub подтянуть вместе с автообновлением.

Детали уязвимостей

Ссылки