Операционная система для тонких клиентов Citrix UniconOS, ранее выпускавшаяся под именем eLux, содержит три уязвимости. Тонкий клиент - это компактная рабочая станция, которая почти не хранит данные сама и работает с серверной инфраструктурой. Две уязвимости открывают путь к повышению прав и выполнению команд, причём только при наличии учётной записи на самом устройстве. Третья устроена иначе: для неё нужна близость к подконтрольной злоумышленнику точке доступа Wi-Fi и действие пользователя. Вендор отнёс весь набор к высокому уровню угрозы, а максимальный балл по CVSS 4.0 достигает 8.5. Затронуты сборки до 2607.2 в текущей ветке и до 2603 LTSR CU2 в ветке долгосрочной поддержки. Исправления вышли 13 октября 2026 года вместе с бюллетенем CTX697187.
Три уязвимости в Citrix UniconOS и версии с исправлениями
Локальное повышение привилегий
Наибольший балл в наборе получила уязвимость CVE-2026-53562, у неё 8.5 по CVSS 4.0. Причина - некорректное разрешение ссылок при доступе к файлу. Программа следует по символической ссылке и открывает объект, который не должен быть ей доступен. Символическая ссылка - это файл, указывающий на другой файл. Если путь проверяется не полностью, программа работает не с тем объектом, который имел в виду пользователь. Злоумышленнику нужна учётная запись с низкими правами на терминале, сеть и удалённое подключение не требуются. Получив её, он повышает свои права до системных и распоряжается всеми данными устройства: читает, изменяет и удаляет их. Влияние на смежные системы нулевое, поэтому за пределы терминала уязвимость не выходит.
Выполнение команд с закреплением в системе
Вторая локальная уязвимость набрала 6.8 балла. Проблема в правах доступа к критичному ресурсу: записывать в него может обычный пользователь, хотя ресурс должен быть закрыт. Система запускает из этого места код с расширенными полномочиями, поэтому злоумышленник выполняет собственные команды от имени более привилегированного процесса. Вдобавок результат сохраняется после перезагрузки, то есть в системе остаётся закрепление. Ущерб для конфиденциальности вендор оценивает как высокий, для целостности и доступности - как низкий. Учётная запись подойдёт любая, достаточно обычных прав пользователя.
Чтение и запись файлов через подконтрольную точку доступа
Третья уязвимость, CVE-2026-53564, обходится без учётной записи. Балл у неё самый низкий, 5.1. Условий два. Устройство оказывается в зоне действия точки доступа Wi-Fi, которой управляет злоумышленник. Помимо этого, пользователь сам инициирует подключение к странице авторизации публичной сети, её ещё называют порталом авторизации. Такие порталы встречаются в гостиницах, аэропортах и кафе: сеть сначала просит открыть страницу и подтвердить вход. Тогда атакующий читает и изменяет произвольные файлы. Эффект ограничен: страдают конфиденциальность и целостность отдельных данных, доступность не нарушается. За пределы устройства влияние не выходит.
Обновление до исправленных версий
Исправления вошли в Citrix UniconOS 2607.2 и в 2603 LTSR CU2. Всем, кто работает на более ранних сборках, вендор советует перейти на эти версии как можно быстрее. В списке затронутых версий значатся только поддерживаемые ветки. Обходных мер в бюллетене нет. До установки обновления доступ к терминалам ограничивают кругом доверенных сотрудников, а подключения к открытым сетям с порталами авторизации исключают. Подписка на уведомления Citrix о бюллетенях безопасности тоже полезна: следующий выпуск выйдет без отдельного предупреждения. Сведений об эксплуатации этих уязвимостей в реальных атаках в бюллетене нет.
Две уязвимости из трёх требуют учётной записи на самом терминале, поэтому внешний злоумышленник ими не воспользуется. Это сужает круг возможных атак, но не отменяет обновления. Вендор отнёс набор к высокому уровню угрозы и обходных путей не предложил. Снять риск позволяет только переход на 2607.2 или 2603 LTSR CU2.
Ссылки
![[GS-031] Azorult Stealer IOCs](https://1275.ru/wp-content/uploads/2026/09/55acef5444274761cdd63cb244f67e89.webp)