Критична ранливост во SmarterMail искористена во напади со рансомвер

Безбедносниот дефект им овозможува на неавторизирани напаѓачи да извршуваат произволен код од далечина преку злонамерни HTTP барања.

Бизнис е-пошта и колаборативните сервери SmarterTools SmarterMail се цел на напади кои го злоупотребуваат уште еден неодамнешен критичен дефект, предупредува американската агенција за сајбер безбедност CISA.

Пред приближно две недели, истражувачи за безбедност алармираа дека хакерите ја злоупотребуваат слабоста за заобиколување на автентикација во SmarterMail за ресетирање на лозинките на администраторските акаунти и преземање контрола врз ранливите инстанци.

Минатата недела, CISA го додаде овој дефект во својот каталог на познати искористени ранливости (KEV), заедно со втор проблем во SmarterMail кој бил искористен во истата кампања.

Сега, агенцијата за сајбер безбедност предупредува дека трета ранливост во SmarterMail, означена како CVE-2026-24423 (CVSS резултат 9.3), била искористена во реални напади.

Проблемот е опишан како ранливост за извршување на код оддалечено без автентикација (RCE) преку ConnectToHub API.

Бидејќи API процесира барања контролирани од далечински сервер, напаѓачите можат да дефинираат произволни параметри за извршување на команди кои се проследуваат на крајната точка, резултирајќи со извршување на команди на сите платформи.

„Напаѓачот може да го насочи SmarterMail кон злонамерниот HTTP сервер, кој испорачува злонамерната OS команда. Оваа команда ќе биде извршена од ранливата апликација,“ стои во известување на NIST.

Според VulnCheck, коренот на проблемот е што ConnectToHub API „експлицитно им дозволува на анонимни корисници и процесира JSON податоци испратени во POST барања.“

Напаѓачите можат да дефинираат mount команда со злонамерни параметри и, по извршувањето, да добијат повисоки привилегии на Linux системите, според VulnCheck.

На 15 јануари беше објавена SmarterMail build 9511 со закрпи за CVE-2026-24423, како и за двата претходни дефекти во SmarterMail кои веќе биле искористени. Корисниците се советуваат да ги ажурираат своите инстанци што е можно побрзо.

Во четврток, CISA го додаде CVE-2026-24423 во KEV каталогот и ги предупреди федералните агенции да го закрпат до 26 февруари, со предупредување дека ранливоста била искористена од групи рансомвер.

Агенцијата за сајбер безбедност постави сличен рок за закрпување и на CVE-2025-11953, критична ранливост во React Native за инјекција на OS команди, која била искористена во реални напади од декември.

Извори:

• SecurityWeek – Critical SmarterMail Vulnerability Exploited in Ransomware Attacks SecurityWeek