Уязвимость подмены пользователя в ejabberd — CVE-2026-104733
В XMPP-сервере ejabberd выявлена уязвимость подмены пользователя и обхода авторизации. Атакующий может выдать себя за произвольного пользователя через невалидированный параметр authzid в механизме SASL-PLAIN. Проблема затрагивает версии ejabberd 26.04 и ниже, уровень критичности — HIGH (CVSS 7.4).
Подробности
Уязвимость затрагивает XMPP-сервер ejabberd версий 26.04 и ниже. Причина — отсутствие должной валидации параметра authzid в механизме аутентификации SASL-PLAIN. Согласно спецификации SASL, параметр authzid позволяет клиенту запросить авторизацию под именем, отличным от аутентифицируемого, но XMPP-сервер обязан проверять, что запрошенный идентификатор соответствует реально прошедшему аутентификацию пользователю. В уязвимых версиях ejabberd такая проверка отсутствует или реализована некорректно. В результате атакующий, прошедший аутентификацию под своей учётной записью, может указать в поле authzid произвольный идентификатор другого пользователя и получить доступ к его сессии. Тип уязвимости — подмена пользователя и обход авторизации (User Impersonation / Authorization Bypass). Оценка по CVSS — 7.4, уровень критичности HIGH. Эксплуатация не требует сложной подготовки и может выполняться удалённо при наличии доступа к сервису аутентификации. Успешная атака позволяет читать переписку, рассылать сообщения от имени жертвы и выполнять иные действия в её контексте, что создаёт серьёзные риски для конфиденциальности и доверия к коммуникационной инфраструктуре.Что делать
В первую очередь необходимо обновить ejabberd до версии, в которой проблема устранена. Рекомендуется свериться с официальным релизом ProcessOne и бюллетенем безопасности проекта: если выпущена исправленная сборка, разверните её на всех узлах кластера. Если немедленное обновление невозможно, рассмотрите временные меры: — ограничьте сетевой доступ к портам аутентификации ejabberd (5222/5269 и связанным) на уровне межсетевого экрана, допуская только доверенные сегменты; — по возможности откажитесь от использования механизма SASL-PLAIN в пользу более защищённых схем аутентификации либо ужесточьте политики клиентских подключений; — включите расширенное журналирование аутентификации и авторизации, чтобы отслеживать подозрительные попытки указания несовпадающего authzid; — проведите проверку текущих сессий и журналов на предмет аномальной активности от имени пользователей. Также стоит уведомить администраторов и пользователей о риске, сменить пароли учётных записей с признаками компрометации и внимательно следить за публикацией обновлений от вендора. Итог: CVE-2026-104733 — серьёзная уязвимость в ejabberd, позволяющая выдавать себя за произвольных пользователей. Приоритетная рекомендация — как можно быстрее обновить сервер до исправленной версии и ограничить доступ к сервису аутентификации до момента установки патча.Источник: CVE Project (cvelistV5)