CVE-2026-108584: хардкод учётных данных в FunnyWolf Viper
В FunnyWolf Viper до версии 3.1.11 включительно обнаружена уязвимость, связанная с хранением жёстко заданных учётных данных в файле конфигурации. Проблема затрагивает компонент, доступный удалённо, а эксплойт уже опубликован публично. Критичность оценивается как средняя (CVSS 6.9).
Подробности
Уязвимость классифицируется как CWE-798 (Use of Hard-coded Credentials) и связана с файлом /root/viper/.git/config. По данным исследователей, в этом файле содержатся жёстко заданные учётные данные, которые не меняются между установками и не требуют от пользователя настройки. Поскольку файл доступен удалённо, атакующий может получить эти данные без предварительного доступа к системе и использовать их для несанкционированного подключения к компонентам Viper или связанным с ним репозиториям. Опасность усугубляется тем, что эксплойт уже опубликован в открытых источниках. Это существенно снижает порог входа для злоумышленников: даже неопытный атакующий может воспользоваться готовым кодом. Уязвимость оценена в 6.9 балла по шкале CVSS v3.1, что соответствует среднему уровню критичности. Такой балл обусловлен удалённой эксплуатируемостью и наличием публичного PoC, но при этом требует определённых условий для успешной атаки. Стоит отметить, что Viper часто разворачивается на серверах, имеющих доступ к внутренней инфраструктуре, поэтому компрометация учётных данных может открыть путь к дальнейшему продвижению по сети. Особенно актуальна эта проблема для организаций, использующих инструмент в продуктивной среде без должной изоляции.Что делать
На момент публикации записи производитель не выпустил патч, закрывающий уязвимость. Рекомендуется следующий набор мер:- Проверить наличие файла /root/viper/.git/config на всех системах, где развёрнут FunnyWolf Viper, и убедиться, что он недоступен извне.
- Ограничить сетевой доступ к сервису Viper: использовать файрвол, VPN или белые списки IP-адресов.
- Вручную заменить жёстко заданные учётные данные на уникальные, если это возможно без нарушения работы продукта.
- Рассмотреть временный отказ от использования уязвимых версий до выхода официального обновления.
- Вести мониторинг журналов на предмет подозрительных подключений к Viper из недоверенных источников.
- Следить за обновлениями от разработчика FunnyWolf и установить патч сразу после его публикации.
Источник: CVE Project (cvelistV5)