TrueConf Server на Linux: права по умолчанию позволяют локальному пользователю дойти до root

Kaspersky ICS CERT выпустил уведомление KLCERT-26-059 о неправильных правах доступа по умолчанию в TrueConf Server для Linux. Уязвимость CVE-2026-123040 позволяет локальному атакующему повысить привилегии до root, но только при одном условии: он уже выполняет код от имени сервисной учётной записи trueconf. Затронуты версии с 4.7.2 до 5.5.6, не включая 5.5.6, исправление доступно в 5.5.6 и новее.

Что известно об уязвимости

Ошибка относится к классу CWE-276, неправильные права доступа по умолчанию. Файлы и каталоги, которые создаёт или использует служба, получают права шире необходимых. Из-за этого учётная запись сервиса может записывать туда, куда обычная сервисная учётная запись писать не должна.

Права по умолчанию почти никто не пересматривает. Их выставляет пакет при установке, и дальше они живут годами: администратор настраивает продукт, а не атрибуты файлов. Поэтому такая ошибка сохраняется на всех хостах, куда ставили затронутую версию, независимо от аккуратности настройки.

Сама по себе ошибка не даёт доступа к серверу. Она опасна в связке: сначала атакующий закрепляется под низкопривилегированной учётной записью, затем использует лишние права, чтобы выйти за её пределы и получить root. Именно поэтому уязвимость описывают как повышение привилегий, а не как прямой удалённый захват.

В карточке приведён вектор CVSS v3 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Расшифровка простая: атака локальная, сложность низкая, нужны низкие привилегии, участие пользователя не требуется, границы безопасности не меняются, ущерб по конфиденциальности, целостности и доступности высокий. Числовая база в карточке отображается как 0.0 и вектору не соответствует. Это дефект оформления записи, а не смягчающее обстоятельство: ориентироваться нужно на вектор и описание условий.

Условия атаки

Ключевое ограничение - локальный вектор. Удалённо, одним сетевым запросом, уязвимость не эксплуатируется. Атакующему нужен способ выполнить команды в системе от имени trueconf.

Низкие привилегии в векторе означают, что у атакующего уже есть хоть какая-то учётная запись или код в системе. Это сужает круг сценариев: внешний сканер или случайный прохожий в интернете такую цепочку не соберёт.

Таким способом может стать другая уязвимость в самом продукте, скомпрометированная интеграция или украденные учётные данные сервиса. В каждом случае цепочка начинается с более слабого звена, а CVE-2026-123040 превращает ограниченный доступ в полный.

Дальше эксплуатация не требует ни сложных условий, ни действий пользователя. Низкая сложность и отсутствие взаимодействия означают, что при выполнении предварительного условия повышение привилегий не встречает серьёзных препятствий.

Что получает атакующий

Root на сервере видеоконференций - это контроль над всем узлом. Атакующий читает конфигурацию, базы данных и данные конференций, меняет двоичные файлы и службы, закрепляется в системе.

Ущерб по доступности тоже высокий: сервер можно остановить или исказить его работу в разгар совещаний. Для организации это не только простой связи, но и риск утечки содержания переговоров.

Отдельно важен масштаб. Скомпрометированный TrueConf Server часто стоит в сети рядом с другими внутренними системами. Полученный root даёт удобную точку для дальнейшего движения по инфраструктуре.

При этом границы безопасности в векторе не меняются. Уязвимость даёт полный контроль над хостом, но не переключает атакующего на другой компонент сам по себе. Дальше всё зависит от того, какие учётные данные и сетевые доступы были у службы.

Затронутые версии

Речь идёт о сборке для Linux. Уязвимы версии с 4.7.2 до 5.5.6, не включая 5.5.6. Версия 5.5.6 и всё, что выпущено позже, содержат исправление.

Проверьте фактическую версию на каждом хосте, а не только в инвентаризации. Обновления не всегда доезжают до резервных и тестовых экземпляров, а именно они чаще остаются без присмотра.

Что исправляет патч

Исправление приводит права по умолчанию в порядок. Учётная запись сервиса перестаёт получать лишний доступ к системным каталогам и конфигурациям служб, поэтому выход за её пределы через эту ошибку больше не работает.

Обновление меняет настройки для новых установок и для файлов, которые служба создаёт дальше. На уже работающих серверах часть прав могла быть выставлена раньше. Поэтому одной установки пакета недостаточно: конфигурацию нужно перепроверить руками.

Если обновиться нельзя

Когда обновление откладывается, разумно закрыть предварительное условие. Сведите к минимуму число людей и систем, которые могут выполнять код от имени trueconf, и проверьте, нет ли у этой учётной записи прав sudo.

Ограничьте сетевой доступ к серверу: интерфейс администратора и API не должны быть открыты шире, чем нужно. Это не устраняет ошибку, но сокращает число способов получить первую точку опоры.

Полезно включить контроль целостности системных каталогов и служб. Появление новых исполняемых файлов или правок в юнитах systemd в обход регламента - повод для разбора.

Дополнительно стоит следить за журналами самой службы. Нехарактерные обращения к API и попытки запуска команд под сервисной учётной записью видны там раньше, чем сработает что-то ещё.

Что проверить после обновления

Kaspersky рекомендует после обновления провести полную проверку антивирусным ПО с актуальными базами и модулями. Это логично: если сервер уже был скомпрометирован, патч сам по себе не удалит чужое присутствие.

Затем посмотрите, какие процессы и файлы доступны пользователю trueconf. Ищите лишние права на запись в системные каталоги и в конфигурации служб. Всё, что не нужно для работы сервиса, лучше снять.

Если на хосте раньше были признаки выполнения кода от trueconf, обновление стоит совместить с проверкой журналов и сменой учётных данных, которые были доступны службе. В первую очередь это касается интеграций и внешних систем, куда сервер ходил сам.