Ревёрс-инжиниринг на службе хакеров. Как простой патч безопасности «развязал» преступникам руки

Уязвимость в почтовом ПО SmarterMail, устранённая обновлением 15 января, начала активно использоваться киберпреступниками уже через два дня после выпуска исправлений. Об этом сообщили специалисты из команды watchTowr Labs, которые ранее уведомили разработчиков о проблеме.

Недоработка отслеживается под внутренним идентификатором WT-2026-0001. Она связана с отсутствием должной проверки при обращении к API-интерфейсу по пути «/api/v1/auth/force-reset-password». Злоумышленник может воспользоваться этим, чтобы сбросить пароль администратора, отправив специально сформированный HTTP-запрос. При этом системе достаточно, чтобы в запросе был установлен флаг «IsSysAdmin» в значение «true» — тогда выполняется логика, которая позволяет назначить новый пароль для учётной записи администратора, используя только имя пользователя.

Таким способом атакующий может получить привилегированный доступ при условии знания имени администратора. Однако на этом возможности не заканчиваются. Получив такой доступ, можно воспользоваться встроенным функционалом и выполнить произвольные команды на уровне операционной системы. Для этого достаточно через настройки создать новый том и прописать команду в поле, предназначенном для монтирования. Таким образом можно получить доступ к системной оболочке с правами уровня SYSTEM.

Информация об активной эксплуатации появилась после того, как пользователь на форуме SmarterTools сообщил о потере доступа к учётной записи администратора. Согласно журналам, 17 января был произведён сброс пароля через уязвимый API-интерфейс — спустя всего два дня после выхода обновления. Это указывает на то, что злоумышленники смогли изучить изменения в коде и восстановить суть исправленной уязвимости.

Особое внимание вызывает и тот факт, что в описании версии 9511, устраняющей проблему, не было конкретики. Упоминание ограничилось формулировкой «важные критические исправления безопасности». По словам главы SmarterTools Тимофея Уззанти, такая практика принята для того, чтобы не облегчать задачу атакующим. При этом он отметил, что компания планирует внедрить дополнительную рассылку по электронной почте при обнаружении новых уязвимостей и выпуске соответствующих исправлений.

Неясно, была ли такая рассылка сделана в этот раз. На момент публикации представители SmarterTools не дали комментариев по данному вопросу. Напомним, что меньше месяца назад в SmarterMail уже обнаружили уязвимость максимального уровня критичности (CVE-2025-52691), которая также позволяла выполнить удалённый код.