CVE-2026-92763: обход авторизации в Rundeck через импорт проекта

В Rundeck — популярной платформе автоматизации и оркестрации задач с открытым исходным кодом — выявлена уязвимость обхода авторизации, получившая идентификатор CVE-2026-92763. Проблема затрагивает процесс импорта архива проекта и позволяет пользователю с ограниченными правами влиять на критичные настройки выполнения задач.

Подробности

Уязвимости подвержены все версии Rundeck вплоть до 6.2.1 включительно. Причина — некорректная проверка прав доступа к параметрам importConfig и importNodesSources в конечной точке импорта архива проекта. Платформа не обеспечивает должной авторизации этих параметров, из-за чего пользователь, обладающий лишь правом на действие импорта (import action), может перезаписать конфигурационные файлы проекта.

Особую опасность представляет то, что среди подменяемых настроек находятся параметры, напрямую влияющие на безопасность и выполнение задач: конфигурация node executors и пути к SSH-ключам. Это позволяет злоумышленнику изменить поведение задач, перенаправить их выполнение или получить доступ к узлам с использованием подконтрольных ключей.

Уязвимости присвоена оценка CVSS 8.6 (HIGH), что отражает высокий уровень риска при наличии у атакующего даже минимальных привилегий в системе.

Что делать

Основная рекомендация — обновить Rundeck до версии, в которой устранена уязвимость (выше 6.2.1), как только соответствующее исправление станет доступно. До момента обновления следует рассмотреть следующие митигации:

• Ограничить круг пользователей, обладающих правом на импорт проектов, и пересмотреть существующие роли и разрешения.
• Отозвать или перевыпустить SSH-ключи, пути к которым могли быть скомпрометированы, и проверить целостность конфигураций проектов.
• Усилить мониторинг действий импорта проектов и аудит изменений в конфигурационных файлах.
• По возможности временно ограничить доступ к конечной точке импорта архива проекта для недоверенных пользователей.

Уязвимость CVE-2026-92763 показывает, насколько важно проверять авторизацию не только на уровне самого действия, но и на уровне отдельных параметров запроса. Даже минимальные привилегии в Rundeck при отсутствии должных проверок могут привести к компрометации критичных настроек выполнения задач, поэтому администраторам стоит оперативно обновить систему и провести ревизию прав доступа.

Источник: CVE Project (cvelistV5)