Суть уязвимости и механизм атаки
Критическая уязвимость CVE-2026-42589 с оценкой 9.8 балла по CVSS 3.1 обнаружена в популярном сервисе конвертации документов Gotenberg. Проблема заключается в том, что через API изменения метаданных PDF злоумышленник может передать специально сформированный JSON, внедрить аргументы в утилиту ExifTool и запустить команды Perl без необходимости какой-либо аутентификации.
Уязвимость уже исправлена в версии 8.31.0, однако исследователи фиксируют активные попытки эксплуатации. Атака носит многоэтапный характер: сначала выполняется команда id для проверки прав, результат записывается во временный файл, а затем подставляется в поле Subject возвращаемого PDF. Это позволяет атакующему видеть ответ сервера и подтверждать успешность выполнения кода.
Арсенал атакующих: от Go-бэкдоров до Windows-эксплойтов
Перехватив 38 запросов к ловушке Gotenberg с одного IP-адреса японского провайдера, аналитики VulnCheck вышли на целый репозиторий инструментов. Атакующий пытался доставить бэкдор cache_base (5,2 МБ, Linux x86-64, написан на Go). После запуска он создает файл блокировки, определяет внешний IP через ipinfo.io и устанавливает соединение с управляющим сервером, связывая его с /bin/sh для удаленного выполнения команд.
Помимо базовых бэкдоров, в арсенале обнаружены:
- Инструменты повышения привилегий: JuicyPotatoNG и RegPwn для Windows.
- Веб-шеллы: три PHP-шелла, маскирующиеся под плагины WordPress и Joomla.
- Кроссплатформенность: репозиторий содержит сборки для ARM64, MIPS и Windows, а также модуль работы через HTTP, SSH, TCP и UDP.
Масштаб кампании и статистика
За 30 дней наблюдений зафиксировано 1358 попыток эксплуатации CVE-2026-42589 с 128 различных IP-адресов. Выделено не менее семи групп активности, варьирующихся от простого сканирования до установки майнеров и обратных оболочек. Несмотря на то, что Gotenberg ранее фигурировал в атаках с вредоносом PoeLLM, прямая связь между операторами кампаний пока не доказана.
Сравнение компонентов арсенала
| Компонент | Платформа/Тип | Назначение |
|---|---|---|
| cache_base | Linux x86-64 (Go) | Обратная командная оболочка, сбор метаданных |
| cache_cn | Linux (Gitea) | Аналог cache_base с другими C2-серверами |
| JuicyPotatoNG / RegPwn | Windows | Повышение привилегий до SYSTEM |
| PHP-шеллы | Web (PHP) | Удаленное управление через веб-интерфейс |
Рекомендации
Владельцам серверов с Gotenberg необходимо немедленно обновиться до версии 8.31.0. Уязвимость пока отсутствует в каталоге эксплуатируемых ошибок CISA KEV, но активность хакеров свидетельствует о высокой вероятности масштабирования атак. Рекомендуется также проверить логи на наличие запросов к API метаданных PDF с нестандартными JSON-структурами.
Источник: Securitylab ↗