CVE-2026-100103: обход аутентификации в P4Search из-за токена по умолчанию
В P4Search (компонент Perforce P4 / Helix Core) обнаружена критическая уязвимость обхода аутентификации. Контейнерные образы до версии 2026.4.2 используют публично задокументированный токен аутентификации по умолчанию, что позволяет неаутентифицированному атакующему получить максимальные привилегии. Уязвимости присвоен максимальный балл CVSS 10.
Подробности
Уязвимость затрагивает контейнерные образы Perforce P4 Search версий до 2026.4.2. В этих сборках сервисный токен аутентификации сбрасывается до значения по умолчанию, которое публично задокументировано. Иными словами, вместо уникального секрета, сгенерированного при развёртывании, используется общеизвестная строка. Поскольку токен доступен любому, кто знаком с документацией, атакующему не требуется проходить аутентификацию: достаточно сетевого доступа к сервису P4Search. Эксплуатация позволяет неаутентифицированному злоумышленнику получить наивысшие привилегии приложения. Как указано в описании CVE, это потенциально ведёт к выполнению произвольного кода и компрометации подключённого P4 Server. Ключевые факторы риска: - Уязвимость эксплуатируется удалённо, без предварительной аутентификации. - Использование значения по умолчанию делает атаку тривиальной при наличии доступа к сервису. - Компрометация P4Search может открыть путь к основному серверу Perforce, где хранится исходный код и другая чувствительная интеллектуальная собственность. Максимальная оценка CVSS отражает сочетание низкой сложности эксплуатации, отсутствия требований к привилегиям и высокого воздействия на конфиденциальность, целостность и доступность.Что делать
Основная рекомендация — обновить контейнерные образы Perforce P4 Search до версии 2026.4.2 или более поздней. В этой версии проблема устранена. Дополнительные меры: - Если обновление невозможно незамедлительно, ограничьте сетевой доступ к сервису P4Search: не выставляйте его в публичные сети, применяйте firewall-правила и сегментацию. - По возможности изолируйте компонент P4Search от остальной инфраструктуры до применения патча. - Проверьте конфигурацию: убедитесь, что используются уникальные сгенерированные токены, а не значения по умолчанию. - Проанализируйте журналы доступа к P4Search на предмет подозрительной активности, так как компрометация могла произойти до обновления. - После обновления смените все связанные учётные данные и токены, чтобы исключить использование скомпрометированных секретов.Итог
CVE-2026-100103 — критическая уязвимость обхода аутентификации, вызванная использованием задокументированного токена по умолчанию в контейнерных образах P4Search. При наличии сетевого доступа к сервису эксплуатация не требует привилегий и может привести к полной компрометации подключённого P4 Server. Организациям, использующим Perforce P4 / Helix Core с компонентом P4Search, следует как можно скорее обновиться до версии 2026.4.2 и проверить, не был ли сервис доступен из недоверенных сетей.Источник: CVE Project (cvelistV5)