CVE-2026-101169: небезопасная десериализация в Octopus Server позволяет выполнить код
В Octopus Server выявлена уязвимость небезопасной десериализации с оценкой CVSS 8.7 (HIGH). Аутентифицированный пользователь с правами на редактирование Environment или Project может выполнить произвольный код в процессе Octopus Server. Проблема затрагивает уязвимые версии продукта и требует приоритетного внимания администраторов.
Подробности
Согласно описанию CVE, проблема затрагивает Octopus Server. Аутентифицированный пользователь, обладающий правами на редактирование Environment (среда) или Project (проект), может задать специально сформированное JSON-содержимое для соответствующего объекта. При обработке этого содержимого сервер выполняет небезопасную десериализацию, что в итоге позволяет атакующему выполнить произвольный код в процессе Octopus Server. Ключевые характеристики уязвимости: - Тип: insecure deserialization (небезопасная десериализация), приводящая к удалённому выполнению кода (RCE) в контексте процесса сервера. - Вектор: сетевой, требуется аутентификация и наличие прав на редактирование Environment или Project. - Оценка: CVSS 8.7 — HIGH. Важно отметить: эксплуатация не требует прав администратора — достаточно роли, позволяющей изменять указанные объекты. Это повышает практическую значимость угрозы для команд, где такие права выданы широкому кругу сотрудников или сервисных учётных записей. Точный перечень уязвимых версий Octopus Server в предоставленной записи CVE не указан, поэтому его следует уточнить у вендора.Что делать
Рекомендации для администраторов Octopus Server: 1. Проверить актуальные версии и наличие исправления у вендора Octopus Deploy, сверившись с официальными рекомендациями по CVE-2026-101169, и обновить Octopus Server до версии, в которой уязвимость устранена. 2. До установки обновления рассмотреть временные митигации: ограничить круг пользователей и сервисных учётных записей, имеющих права на редактирование Environment и Project; пересмотреть и сузить выданные разрешения по принципу минимальных привилегий. 3. Усилить мониторинг: включить и проверять журналы аудита Octopus Server на предмет подозрительных изменений объектов Environment и Project, а также аномальной активности процесса сервера. 4. Если обновление невозможно в ближайшее время, оценить сетевую доступность Octopus Server и ограничить доступ к нему из недоверенных сегментов сети.Итог
CVE-2026-101169 — серьёзная уязвимость уровня HIGH (CVSS 8.7) в Octopus Server, позволяющая аутентифицированному пользователю с правами на редактирование Environment или Project выполнить произвольный код в процессе сервера через небезопасную десериализацию JSON. Наиболее эффективная мера — своевременное обновление продукта; в качестве сопутствующих мер стоит ограничить привилегии и настроить мониторинг изменений критичных объектов. Администраторам рекомендуется оперативно проверить свои инсталляции и версии Octopus Server.Источник: CVE Project (cvelistV5)