CVE-2026-87689
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Metasploit Framework Web Service REST API (msf-ws) udostępnia magazyn poświadczeń przez Msf::WebServices::CredentialServlet. Obsługa aktualizacji (PUT) i usuwania (DELETE) poświadczeń w /api/v1/credentials nie wywołuje uwierzytelnienia, w przeciwieństwie do innych tras. Każdy klient, który może dotrzeć do usługi na domyślnym nasłuchiwaczu 0.0.0.0:8080, może czytać, modyfikować lub trwale usuwać wszystkie zapisane poświadczenia bez uwierzytelnienia. Wszystkie opublikowane wersje Metasploit Framework do 6.5.4 są dotknięte; poprawka w 6.5.5 dodaje wywołanie uwierzytelnienia.
Ocena ryzyka
Atakujący bez uwierzytelnienia może uzyskać dostęp do wszystkich poświadczeń, w tym haseł, hashy i kluczy prywatnych, co prowadzi do pełnej kompromitacji danych uwierzytelniających. Może to umożliwić przejęcie kont i systemów w organizacji.
Rekomendacja
Należy natychmiast zaktualizować Metasploit Framework do wersji 6.5.5 lub nowszej. Dodatkowo, należy ograniczyć dostęp do usługi webowej, np. poprzez zmianę domyślnego nasłuchiwania na interfejsie lokalnym.
Inne podatności w Metasploit Framework
Zobacz wszystkie- CVE-2026-109682Średnie
Metasploit Framework w wersjach przed 6.5.7 pozwala żądaniom HTTP wykonywanym przez send_request_cgi! na podążanie za przekierowaniami do innego hosta bez ograniczania miejsca docelowego przekierowania. Złośliwy serwer HTTP może spowodować, że system z uruchomionym Metasploit wykona żądania do dowolnych usług HTTP osiągalnych z sieci operatora, w tym do usług wewnętrznych, które w innym przypadku nie są dostępne dla atakującego.
- CVE-2026-87690Wysokie
Moduł post Metasploit Framework (post/apple_ios/gather/ios_image_gather) jest podatny na podatność typu path traversal (CWE-22). Moduł interpoluje nazwy plików z listingu katalogów Meterpreter (kontrolowane przez wrogie lub zmodyfikowane urządzenie iOS) bezpośrednio do ścieżki docelowej, co pozwala na zapis pliku poza zamierzonym katalogiem, np. nadpisanie pliku msfconsole.rc, który jest wykonywany przy każdym uruchomieniu msfconsole.
- CVE-2026-16895Średnie
W interfejsie JSON-RPC web service w Metasploit Framework wykryto podatność logiczną (fail-open). Gdy wystąpi wyjątek podczas sprawdzania stanu bazy danych (db.check) i zmienna środowiskowa MSF_WS_JSON_RPC_API_TOKEN nie jest ustawiona, aplikacja resetuje flagę msf.auth_initialized na false. Strategia uwierzytelniania ApiToken Warden błędnie interpretuje tę wartość jako brak wymaganego uwierzytelnienia, co umożliwia nieuwierzytelniony lokalny dostęp do dyspozytora żądań JSON-RPC.
Oryginalny opis (angielski, źródło NVD)
The Metasploit Framework Web Service REST API (msf-ws) exposes the credential store through Msf::WebServices::CredentialServlet. Every mutating and read route in this servlet calls warden.authenticate! before processing a request, except the update_credential (PUT) and delete_credentials (DELETE) handlers for /api/v1/credentials, which omit the authentication call entirely. Because these handlers call directly into lib/msf/core/db_manager/cred.rb, which performs no authorization check of its own, any client able to reach the web service on its default 0.0.0.0:8080 listener can read, modify, or permanently delete every stored credential record — including passwords, hashes, and private keys stored for a shared team engagement — without presenting any authentication. All published versions of Metasploit Framework through 6.5.4 are affected. The issue is fixed in 6.5.5 by adding warden.authenticate! as the first statement in both handlers, matching the pattern used by every other route in the API.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS