Eptura Archibus: trzy luki pozwalają przejąć serwer bez logowania

Trzy luki w Eptura Archibus można połączyć, aby bez logowania odczytać bazę danych i wykonać kod na serwerze. Rapid7 opublikował szczegóły 19 października. Zalecana jest aktualizacja do wersji 2025.02 lub nowszej.

Co ujawnili badacze

Archibus służy do zarządzania budynkami, wyposażeniem i nieruchomościami. Badacze znaleźli problem w starszym interfejsie aplikacji, który pozwalał uruchamiać funkcje bez prawidłowego uwierzytelnienia.

CVE-2026-107186 dotyczy obejścia logowania, CVE-2026-107187 umożliwia odczyt danych z bazy, a CVE-2026-107188 wiąże się z niebezpiecznym przesyłaniem plików. Połączenie tych możliwości prowadzi do wykonania poleceń na serwerze. Szczególnie istotny jest dostęp do informacji uwierzytelniających przechowywanych w bazie.

Rapid7 odkrył problemy podczas autoryzowanych testów. Opis takiego sprawdzenia nie jest potwierdzeniem wykorzystania luk przez przestępców.

Kogo dotyczy ryzyko

Sprawdzenia wymagają instalacje Archibus starsze niż 2025.02. Znaczenie ma także dostępność serwera przez sieć: ograniczenie dostępu zmniejsza liczbę potencjalnych napastników, ale nie zastępuje aktualizacji.

W organizacjach korzystających z systemu za utrzymanie aplikacji mogą odpowiadać inne osoby niż za bezpieczeństwo infrastruktury. Dlatego ustalenie właściciela instalacji i jej rzeczywistej wersji powinno poprzedzać zamknięcie zgłoszenia.

Co zrobić teraz

• Zinwentaryzuj serwery Archibus i sprawdź zainstalowane wydania.
• Zaplanuj aktualizację do wersji 2025.02 lub nowszej, zgodnie z instrukcjami Eptura.
• Do czasu aktualizacji ogranicz dostęp sieciowy do niezbędnych użytkowników i systemów.
• Przejrzyj dzienniki aplikacji oraz nietypowe pliki na serwerze.
• Jeżeli pojawią się ślady nadużycia, zabezpiecz materiał do analizy i oceń potrzebę zmiany danych dostępowych.

Komentarz SecurHUB

Systemy zarządzania nieruchomościami również wymagają regularnej oceny bezpieczeństwa aplikacji. Testy penetracyjne pomagają sprawdzić, czy połączenie kilku pozornie odrębnych funkcji nie otwiera drogi do danych i serwera.

Źródła: Rapid7, Threadlinqs