HCL BigFix Platform: уязвимость в промежуточном CA-бандле (CVE-2026-108013)
В HCL BigFix Platform обнаружена уязвимость, связанная с использованием устаревшего бандла корневых сертификатов Mozilla CA. Из-за доверия к сертификатам с скомпрометированными приватными ключами атакующий типа «человек посередине» может выдавать себя за удалённые серверы и подменять загружаемые файлы. Критичность — средняя (CVSS 6.8).
Подробности
BigFix Platform применяет бандл корневых сертификатов Mozilla CA (PEM) для валидации серверов при установке соединений. Версии бандла, датированные ранее 2026/10/20, по-прежнему доверяют сертификатам, чьи приватные ключи уже были скомпрометированы. Если платформа проверяет серверы с помощью такого устаревшего бандла, атакующий, находящийся на пути следования трафика (on-path, он же «человек посередине»), может выдать себя за удалённый сервер. Успешная эксплуатация позволяет перехватывать соединения и вносить изменения в файлы, которые загружает приложение, что создаёт риск компрометации содержимого и нарушения целостности данных. Уязвимость не требует наличия учётных данных и эксплуатируется удалённо при условии, что атакующий способен встать в разрыв канала связи. Именно сетевой вектор и возможность подмены загружаемых файлов определяют практическую значимость проблемы, несмотря на среднюю оценку CVSS. Уязвимость устранена в бандле сертификатов версии 2026/10/20 и более поздних. Исправленный бандл поставляется начиная с BES Support v1520.Что делать
Организациям, использующим HCL BigFix Platform, рекомендуется проверить версию используемого CA-бандла и убедиться, что применяется сборка от 2026/10/20 или новее. Основное решение — обновление до BES Support v1520 или более поздней версии, в которой поставляется актуальный бандл. Если немедленное обновление невозможно, следует ограничить сетевой доступ к инфраструктуре BigFix, применять сегментацию сети и усиленный мониторинг соединений, а также по возможности использовать доверенные каналы связи с дополнительной проверкой целостности загружаемых файлов. После обновления целесообразно пересмотреть политику доверия к сертификатам и убедиться, что скомпрометированные сертификаты больше не принимаются.Итог
CVE-2026-108013 — напоминание о том, что доверие к устаревшим наборам корневых сертификатов само по себе становится вектором атаки. Уязвимость не критична по оценке CVSS, но позволяет атакующему в позиции on-path подменять серверы и загружаемые файлы. Единственная надёжная мера — переход на бандл версии 2026/10/20 и новее через обновление BES Support до v1520 или более поздней версии, дополненный сетевыми митигациями на период до установки патча.Источник: CVE Project (cvelistV5)