ТОП-5 ИБ-событий недели: критические ошибки в Consul, Linux, GitLab, камерах и Telegram
В подборке Jet CSIRT - пять заметных инцидентов и уязвимостей, затрагивающих облачную инфраструктуру, серверы, системы видеонаблюдения и мобильные устройства. Среди них - обход правил доступа в Consul-k8s, ошибка в TCP-стеке Linux, попытка атаки на GitLab в Alpine Linux, удалённый вывод камер Intelbras из строя и дефект обработки звонков в Telegram для Android.
1. Уязвимость в HashiCorp Consul позволяет обойти авторизацию
В Consul-k8s обнаружили критическую уязвимость CVE-2026-110720 с оценкой 9,9 по шкале CVSS. Продукт применяется для управления сервисами в Kubernetes. Ошибка связана с правилами привязки компонентов ACL: при определённых условиях злоумышленник может обойти ограничения между пространствами имён.
В результате атакующий способен выйти за пределы разрешённой области, повысить привилегии и получить контроль над чужими сервисами. Исправления включены в Consul-k8s 2.1.0 и 1.8.18. Администраторам рекомендуется установить обновление, проверить ACL-привязки на предмет неожиданных изменений и ограничить сетевой доступ к API Consul.
2. Уязвимость TCP-стека Linux обнаружили с помощью Claude
В TCP-стеке ядра Linux выявлена уязвимость CVE-2026-98432, которую, согласно сообщению, помогла обнаружить модель Claude от Anthropic. Причина - сбой синхронизации при одновременной обработке входящих IPv4 TCP-соединений. В результате ядро может обратиться к уже освобождённой области памяти - это ошибка типа use-after-free.
Для атаки не требуются учётные данные. На сервере с включённой поддержкой Multipath TCP уязвимость потенциально позволяет выполнить код с правами root. Исправление внесли в основную ветку ядра и перенесли в поддерживаемые версии. На момент публикации патчи для Ubuntu и RHEL ещё не вышли. До их появления следует следить за обновлениями дистрибутива и, если это возможно, ограничить доступ к MPTCP-соединениям.
3. GitLab в Alpine Linux пытались атаковать через уязвимость Ruby
Неизвестный злоумышленник попытался воспользоваться уязвимостью CVE-2026-97229 с максимальной оценкой CVSS 10,0 в инстансе GitLab, развернутом Alpine Linux. Проблема связана с Onigmo - движком регулярных выражений, который используется в Ruby. Недостаточная проверка выражений в конфигурациях CI может привести к сбою движка.
GitLab выпустил исправления 12 октября, однако они устраняют проблему во встроенной версии Ruby. Если GitLab собран со сторонним Ruby, обновление самого GitLab может оказаться недостаточным. Alpine Linux пересобрал сервер с нуля. Следов успешного взлома не обнаружили, но полностью исключить его не удалось. Администраторам, использующим собственную сборку Ruby, рекомендуют перейти на версии 3.3.13, 3.4.12 или 4.0.9.
4. Ошибка в камерах Intelbras позволяет надолго отключить устройство
"Лаборатория Касперского" сообщила об уязвимости в IP-камерах Intelbras. Она находится в механизме обновления прошивки: конечная точка принимает файлы без авторизации и не проверяет их содержимое до установки.
Злоумышленнику, подключённому к той же Wi-Fi-сети, что и камера, достаточно отправить специальный запрос, чтобы вызвать перезагрузку устройства. Один цикл занимает около минуты, но повторная отправка запросов способна удерживать камеру офлайн без ограничения по времени.
Уязвимы модели iM3B-C, iMX C, iM4 C, iM5 SC, iME 360 C и iM7+ FC. Приложение Intelbras Mibo Smart, предназначенное для управления устройствами, скачали в Google Play более четырёх миллионов раз. Производитель выпустил исправленную прошивку. Владельцам камер следует проверить установленную версию программного обеспечения и обновить её.
5. Telegram для Android исправил уязвимость, связанную со звонками
В Telegram для Android обнаружили ошибку, которая при ответе на голосовой вызов могла позволить пользователю с обычным аккаунтом выполнить произвольный код на устройстве. Уязвимость затрагивала версии приложения с 8.6.2 по 12.10.3.
Дефект возникал при обработке служебных сигналов MediaState во время звонка. Если в сигнале отсутствовали необходимые данные, приложение могло обратиться к памяти за пределами выделенного буфера. В сочетании с утечкой информации и эксплойтом для получения root-доступа это могло привести к полному контролю над устройством.
Telegram устранил проблему в версии 12.10.4 в конце сентября. О публичном раскрытии стало известно 29 октября. Пользователям следует обновить приложение и ограничить в настройках возможность принимать звонки от незнакомых людей.
Что предпринять администраторам и пользователям
В первую очередь стоит составить перечень систем, которые могут быть затронуты: кластеры Kubernetes с Consul-k8s, Linux-серверы с включённым Multipath TCP, GitLab-инстансы с Ruby, камеры Intelbras и устройства с Telegram для Android. Без такой инвентаризации легко пропустить уязвимый компонент, особенно если он входит в состав другого продукта.
Для серверной инфраструктуры важно не ограничиваться установкой обновлений. После исправления Consul следует проверить политики доступа, а после обновления GitLab - убедиться, какая именно версия Ruby используется в сборке. При отсутствии патча для конкретного дистрибутива разумно временно уменьшить доступность уязвимой службы и отслеживать сообщения поставщика.
В случае с камерами особенно важно учитывать сетевое окружение. Устройство, доступное из общей Wi-Fi-сети, может оказаться уязвимым для атак со стороны других подключённых к ней клиентов. Отдельная сеть для устройств интернета вещей снижает риск, хотя не заменяет установку исправленной прошивки.
Пользователям Android достаточно проверить номер версии Telegram и обновить приложение до 12.10.4 или более позднего выпуска. Дополнительное ограничение звонков от неизвестных контактов уменьшает вероятность нежелательных вызовов, но не должно рассматриваться как альтернатива обновлению.
Общий вывод недели - исправления нужно устанавливать с учётом способа сборки и конфигурации продукта. Один и тот же номер обновления может закрыть проблему не во всех сценариях: это особенно существенно для GitLab со сторонним Ruby и серверов, ожидающих патч от поставщика Linux-дистрибутива.
