Эксплуатация CVE-2026-58115 позволяет запускать команды через Node-RED
CVE-2026-58115 позволяет получить несанкционированный доступ к узлам Node-RED, способным выполнять системные команды. Уязвимость затрагивает Siemens SIMATIC IoT2050 Advance. В наблюдавшихся случаях злоумышленники атаковали экземпляры Node-RED без настроенного параметра adminAuth и разворачивали поток одним запросом POST /flows. Node-RED также используют в других промышленных и встраиваемых средах.
Первоначальный поток содержал узел inject, настроенный на срабатывание с задержкой в одну секунду, и связанный с ним узел exec, который выполнял команду оболочки. Команда декодировала дроппер в base64 и передавала его оболочке, скрывая команды загрузчика от простых фильтров тела запроса. Дроппер пытался получить бинарный файл для Linux AMD64 с хоста 85.215.73.250 на порту 8080, используя сначала wget, затем curl. Файл сохранялся в оперативной памяти под именем /dev/shm/.b и запускался в фоновом режиме с помощью setsid или nohup, при этом вывод отбрасывался. Бинарный файл получить не удалось, его функция неизвестна.
IP-адрес 4.201.105.116 из сети AS8075 Microsoft отправлял повторяющиеся попытки эксплуатации уязвимостей Node-RED, а также запросы, нацеленные на несколько не связанных друг с другом продуктов и CVE. Несколько пользовательских агентов и варианты полезной нагрузки указывают на оппортунистическое сканирование и возможное использование общей инфраструктуры. Сам IP-адрес не позволяет определить оператора.
В последующей активности зафиксировали вариант, который скачивал и запускал поэтапный скрипт оболочки, отдельную полезную нагрузку, полученную с IP-адреса 45.194.90.57, а также потоки, создававшие HTTP-конечные точки, связанные с узлами exec. Эти конечные точки могли обеспечивать постоянное выполнение команд через параметры запроса, даже если имплант, работающий в оперативной памяти, исчезал после перезагрузки.
Авторы отчёта рекомендуют проверить механизмы управления внешним доступом и развернутые потоки на наличие неожиданных узлов exec или HTTP-эндпоинтов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
