Allegro Ralph: отсутствие авторизации в API стоек дата-центра (CVE-2026-111683)

В системе управления ИТ-активами Allegro Ralph обнаружена уязвимость, связанная с недостаточной проверкой прав доступа. Проблема затрагивает API-эндпоинты, отвечающие за работу со стойками и серверными помещениями дата-центра, и позволяет пользователям с учётной записью сотрудника выполнять действия, на которые у них не должно быть прав.

Подробности

Уязвимость CVE-2026-111683 присутствует в Allegro Ralph во всех версиях по 20260902.1 включительно. Причина — логика класса RalphPermission, который пропускает проверки для представлений (views) без queryset. В результате аутентифицированный сотрудник может обойти ограничения прав на модели стоек и обратиться к эндпоинтам /api/rack/<id> и /api/server_room/<id>, обслуживаемым DCAssetsView и SRRacksAPIView.

Эксплуатация позволяет читать чувствительные инвентарные данные — имена хостов, серийные номера и IP-адреса управления активами, — а также изменять существующие стойки, перемещать их и создавать новые. Уязвимость классифицирована как Missing Authorization (отсутствие авторизации), ей присвоен базовый балл CVSS 5.3, что соответствует среднему уровню опасности. Для атаки требуется действующая учётная запись сотрудника, поэтому основным вектором остаётся злоупотребление внутренними правами доступа.

Что делать

Официальных данных о наличии исправленной версии в записи CVE не приводится, поэтому первым шагом следует проверить актуальные релизы Allegro Ralph у поставщика и установить сборку, в которой устранена проблема. До получения патча рекомендуется применить компенсирующие меры:

• ограничить сетевой доступ к API /api/rack/ и /api/server_room/ доверенными сегментами и административными рабочими местами;
• проверить и минимизировать перечень учётных записей с ролью staff, отозвать неиспользуемые и избыточные права;
• включить журналирование обращений к указанным эндпоинтам и настроить оповещения о нехарактерной активности — массовом чтении, создании или перемещении стоек;
• проанализировать журналы за прошлые периоды на предмет несанкционированных операций с активами дата-центра.

Уязвимость не позволяет получить доступ без аутентификации, однако заметно расширяет возможности внутреннего нарушителя: раскрытие серийных номеров и адресов управления упрощает дальнейшие атаки на инфраструктуру, а несанкционированное изменение стоек напрямую влияет на достоверность инвентаризации. Компаниям, использующим Allegro Ralph для учёта оборудования ЦОД, стоит отнестись к проблеме внимательно и не откладывать обновление или введение митигаций.

Источник: CVE Project (cvelistV5)