CVE-2026-12544: SSTI и небезопасная десериализация в Foreman

В системе управления жизненным циклом инфраструктуры Foreman выявлена уязвимость, получившая идентификатор CVE-2026-12544. Проблема затрагивает механизм инициализации утилиты foreman-rake и представляет серьёзную угрозу для развёрнутых инсталляций, включая продукты на его основе.

Подробности

Уязвимость классифицируется как сочетание двух классов атак: Server-Side Template Injection (SSTI) и небезопасная десериализация. Согласно описанию, код в файле /usr/share/foreman/config/settings.rb содержит опасный шаблон, при котором конфигурационные данные проходят обработку через два различных исполняемых слоя. Такая многоступенчатая цепочка выполнения позволяет атакующему внедрить управляемые данные в поток обработки — сначала как серверный шаблон, а затем как сериализованный объект. Под уязвимость подпадают следующие продукты:

• Red Hat Satellite 6.19 for RHEL 9;
• Red Hat Satellite 6.

Уровень опасности присвоен CVSS 7.7 (HIGH). Успешная эксплуатация приводит к удалённому выполнению кода (RCE), полной компрометации инфраструктуры и создаёт риски для цепочки поставок — поскольку Foreman и Satellite часто используются как центральные точки управления и распространения конфигураций на множество хостов. Компрометация такого узла потенциально позволяет злоумышленнику воздействовать на управляемые системы и распространять вредоносные артефакты.

Что делать

Для устранения уязвимости необходимо в первую очередь применить официальные обновления от вендора. Рекомендуется:

• Обновить Red Hat Satellite и Foreman до версии, содержащей патч для CVE-2026-12544, — проверьте актуальные бюллетени безопасности Red Hat.
• Ограничить доступ к узлу управления Foreman/Satellite: уязвимость в логике обработки конфигурации повышает риски при наличии неаутентифицированного или слабо ограниченного доступа.
• Провести аудит прав и ключей, используемых сервисом, а также пересмотреть доверенные источники конфигурационных данных.
• В случае невозможности немедленного обновления — минимизировать возможность записи в конфигурационные файлы и ограничить круг лиц, имеющих доступ к settings.rb и связанным скриптам.

Итог: CVE-2026-12544 — опасная уязвимость высокого уровня, позволяющая объединить SSTI и небезопасную десериализацию в единую цепочку выполнения кода. Учитывая роль Foreman и Red Hat Satellite как центральных компонентов управления инфраструктурой, промедление с обновлением создаёт прямые риски для всей подконтрольной среды и цепочки поставок. Настоятельно рекомендуется приоритизировать установку патчей.

Источник: CVE Project (cvelistV5)