Атака на HFS: слабый генератор случайных чисел открывает путь к подделке сессии администратора

Компания VulnCheck сообщила об активных попытках эксплуатации критической уязвимости в Rejetto HTTP File Server (HFS). Проблема получила идентификатор CVE-2026-61500 и оценку 9,3 по шкале CVSS.

В чём суть уязвимости

В версиях HFS с 3.0.0 по 3.2.0 ключ для подписи сессионных cookie вырабатывается с помощью некриптографического генератора Math.random(). При этом сервер раскрывает вывод того же самого генератора неаутентифицированным клиентам во время процедуры входа (SRP-рукопожатия).

Этого достаточно, чтобы атака сработала: собрав небольшое число ответов на запросы авторизации, злоумышленник может восстановить состояние генератора, вычислить ключ подписи и подделать действующий cookie администратора. Дальше в ход идёт штатная функция конфигурации server_code, позволяющая выполнять серверный JavaScript, — а значит, и произвольный код на сервере.

Кто нашёл и когда закрыли

Уязвимость обнаружил исследователь Horizon3.ai Зак Хэнли. По его словам, в поиске помогла модель Mythos от Anthropic. Хэнли описал проблему как обход аутентификации, открывающий прямой путь от неаутентифицированного доступа к административному контролю и выполнению кода.

Исправление вышло ещё в июле 2026 года — в версии 3.2.1. Однако публичный proof-of-concept на Python появился лишь в конце сентября: его опубликовал исследователь Алехандро Рамос (aramosf).

Эксплуатация в дикой природе

По данным Патрика Гэррити из VulnCheck, первые попытки эксплуатации были зафиксированы 1 октября 2026 года — на следующий день после того, как Horizon3.ai раскрыла дополнительные детали. Компания отследила неназванную группировку из Китая, атаковавшую реально уязвимые узлы в США.

Это уже вторая активно эксплуатируемая уязвимость в Rejetto HFS. Первой была CVE-2024-23692 (CVSS 9,8): летом 2024 года её использовали для доставки майнеров криптовалюты, троянов и вредоноса HATVIBE.

Администраторам, использующим HFS, стоит незамедлительно обновиться до версии 3.2.1.

Источник: The Hacker News