Уязвимость неправильного контроля доступа в NI SystemLink (CVE-2026-4129)
В компонентах NI SystemLink и NI SystemLink Server выявлена уязвимость, связанная с неправильной реализацией контроля доступа. Она получила идентификатор CVE-2026-4129 и оценку CVSS 8.1, что соответствует высокому уровню критичности.
Подробности
Уязвимость затрагивает NI SystemLink и NI SystemLink Server версий 2026 Q3 и всех более ранних. Согласно описанию, проблема заключается в неправильном контроле доступа: аутентифицированный пользователь с ограниченными привилегиями может обратиться к файлам и каталогам операционной системы хоста, доступ к которым должен быть ограничен.
Подобный класс уязвимостей (improper access control) опасен тем, что не требует внешнего злоумышленника без учётной записи — достаточно легитимного, но малопривилегированного пользователя. Это повышает риски в сценариях, где доступ к системе предоставляется подрядчикам, интеграторам или сотрудникам с минимальными правами. Получив доступ к файлам ОС хоста, злоумышленник потенциально может извлечь конфиденциальные данные, учётные данные, конфигурацию или использовать эту информацию для дальнейшего расширения присутствия в инфраструктуре.
Оценка CVSS 8.1 (HIGH) указывает на серьёзность проблемы и необходимость приоритетного реагирования. Точные эксплойты и дополнительные технические детали в записи CVE не раскрываются.
Что делать
Рекомендуется как можно скорее принять следующие меры:
- Проверить, используются ли в инфраструктуре NI SystemLink или NI SystemLink Server, и уточнить их версии.
- Обновить продукты до версии, выпущенной после 2026 Q3, как только соответствующее исправление станет доступно у вендора (NI). Следите за официальными бюллетенями безопасности National Instruments.
- До установки обновления ограничить круг пользователей, имеющих доступ к системе, и пересмотреть назначенные им привилегии, руководствуясь принципом минимальных прав.
- Усилить мониторинг обращений к файловой системе хоста и журналирование действий пользователей для своевременного выявления подозрительной активности.
- По возможности изолировать системы SystemLink в сегментированной сети, чтобы снизить потенциальный ущерб при эксплуатации уязвимости.
Конкретные митигации и сроки выпуска патча следует уточнять у производителя — National Instruments.
Уязвимость CVE-2026-4129 в NI SystemLink и NI SystemLink Server демонстрирует, насколько важно строго разграничивать права доступа даже для уже аутентифицированных пользователей. Высокая оценка CVSS 8.1 требует оперативной реакции: проверьте используемые версии, примените обновления от вендора и временно ограничьте привилегии пользователей до устранения проблемы.
Источник: CVE Project (cvelistV5)