CVE-2026-104018: повышение привилегий в командной оболочке VxWorks 7
В командной оболочке Wind River VxWorks 7 обнаружена уязвимость неправильного управления привилегиями (CWE-269), позволяющая аутентифицированному пользователю с ограниченными правами выполнять неавторизованные команды. Проблема затрагивает все версии VxWorks 7 до 26.09 и получила оценку CVSS 8.8 (HIGH). Уязвимость может привести к полной компрометации устройства.
Подробности
Уязвимость получила идентификатор CVE-2026-104018 и классифицируется как неправильное управление привилегиями (CWE-269). Она проявляется в командной оболочке VxWorks 7, когда система настроена на принудительное применение персональных прав пользователей на выполнение команд. При определённых операциях в оболочке команда может быть обработана без стандартной проверки привилегий. В результате аутентифицированный пользователь с ограниченными правами получает возможность выполнить команды, которые ему не разрешены. Успешная эксплуатация приводит к повышению привилегий и оказывает влияние на конфиденциальность, целостность и доступность устройства. Уязвимость затрагивает все версии Wind River VxWorks 7 вплоть до 26.09. Проблема устранена в версии 26.09. Базовый балл CVSS составляет 8.8, что соответствует высокому уровню опасности. Для эксплуатации требуется наличие учётной записи с ограниченными правами, поэтому атака возможна как со стороны локального пользователя, так и со стороны злоумышленника, получившего доступ к оболочке устройства.Что делать
Основная рекомендация — обновить VxWorks 7 до версии 26.09 или более поздней, в которой устранена уязвимость. Wind River выпустила соответствующее исправление, поэтому переход на актуальную версию закрывает вектор атаки. Если немедленное обновление невозможно, следует рассмотреть компенсирующие меры. В первую очередь необходимо ограничить доступ к командной оболочке устройства: не предоставлять учётные записи с доступом к shell пользователям, которым это не требуется, и по возможности отключить интерактивный доступ. Также рекомендуется усилить мониторинг подозрительной активности в оболочке и ограничить сетевой доступ к интерфейсам управления устройством. Однако эти меры являются временными и не заменяют установку патча. Организациям, использующим VxWorks 7 в промышленных, медицинских, сетевых или встраиваемых системах, стоит провести инвентаризацию устройств и определить, какие из них затронуты, чтобы приоритизировать обновление. Итог: CVE-2026-104018 — серьёзная уязвимость повышения привилегий в VxWorks 7 с оценкой 8.8. Единственное надёжное решение — обновление до версии 26.09. До установки патча рекомендуется ограничить доступ к командной оболочке и усилить контроль за действиями пользователей.Источник: CVE Project (cvelistV5)