Критическая CRLF-инъекция в Oray Pugongying X5 Pro (CVE-2026-116231)

В конце 2026 года в публичном реестре CVE появилась запись о серьёзной уязвимости в устройстве Oray Pugongying X5 Pro — оно используется для организации удалённого доступа и работы с последовательными интерфейсами. Проблема затрагивает компонент Ser2net и получила идентификатор CVE-2026-116231. Учитывая высокую оценку опасности и наличие публичного эксплойта, игнорировать её нельзя.

Подробности

Уязвимость выявлена в Oray Pugongying X5 Pro версии 7.6.1. Проблема находится в компоненте Ser2net: при манипуляции аргументом regmsg возникает CRLF-инъекция (внедрение символов перевода строки и возврата каретки). Такая ошибка позволяет злоумышленнику встраивать в данные управляющие последовательности, что может приводить к подмене содержимого ответов, разделению сообщений и иным последствиям — вплоть до обхода проверок и внедрения произвольных данных в обрабатываемые устройством потоки.

По классификации CVSS v4.0 уязвимость получила оценку 9.4 (CRITICAL). Атака может быть инициирована удалённо, без физического доступа к устройству. Эксплойт уже опубликован и, по данным источника, может использоваться злоумышленниками. Производитель был заблаговременно уведомлён о находке, однако, согласно записи, не ответил.

Что делать

Официального патча на момент публикации записи производитель не предоставил, поэтому рекомендуется принять компенсирующие меры:

• По возможности ограничить сетевой доступ к устройству и его компоненту Ser2net — не выставлять сервис в интернет, использовать сегментацию сети и фильтрацию по IP-адресам.
• Ограничить доступ к веб-интерфейсу и сервисам управления устройством, применять VPN для удалённого администрирования.
• Отслеживать официальные сообщения Oray о выпуске обновления и установить его сразу после появления.
• При отсутствии необходимости в функции последовательного доступа через сеть — отключить соответствующий компонент.
• Проверить журналы на предмет подозрительной активности, связанной с обращениями к Ser2net, и настроить оповещения.

Итог: CVE-2026-116231 — критическая уязвимость с готовым публичным эксплойтом и молчанием вендора. Владельцам Oray Pugongying X5 Pro 7.6.1 следует оперативно снизить поверхность атаки и следить за обновлениями. Мы продолжим отслеживать ситуацию.

Источник: CVE Project (cvelistV5)