Критическая уязвимость повышения привилегий в Progress Chef Automate — CVE-2026-80462

В платформе автоматизации управления конфигурациями Progress Chef Automate выявлена уязвимость критического уровня, получившая идентификатор CVE-2026-80462. Проблема затрагивает API-шлюз и механизм проверки идентификации, что делает её особенно опасной для инфраструктур, где Chef Automate используется как центральный элемент управления конфигурациями и инфраструктурой.

Подробности

Уязвимость затрагивает продукт Progress Software Chef Automate. Согласно описанию,缺陷 возникает в API-шлюзе и пути проверки идентификации (identity validation path). При определённых условиях неаутентифицированный актор — то есть злоумышленник без действующих учётных данных — может получить расширенный доступ к защищённому функционалу Chef Automate.

Оценка по шкале CVSS составляет 10.0, что соответствует максимальному, критическому уровню опасности. Столь высокая оценка указывает на комбинацию факторов: лёгкость эксплуатации, отсутствие необходимости в аутентификации и потенциально серьёзное воздействие на конфиденциальность, целостность и доступность системы.

Точные версии Chef Automate, подверженные уязвимости, в записи CVE не перечислены. Дополнительные технические детали, включая конкретный вектор атаки и условия эксплуатации, также не раскрыты — вероятно, в целях предотвращения активного использования до выпуска исправлений.

Chef Automate применяется для управления конфигурациями, аудита соответствия и автоматизации инфраструктуры в организациях разного масштаба, включая крупные предприятия. Компрометация платформы такого класса может привести к несанкционированному изменению конфигураций, доступу к секретам и учётным данным, а также к распространению атаки на управляемые узлы.

Что делать

Поскольку официальные детали об исправлениях в записи CVE не приведены, рекомендуется придерживаться стандартных мер реагирования на критическую уязвимость:

• Незамедлительно проверить наличие обновлений безопасности от Progress Software и установить их в приоритетном порядке. Следите за официальными бюллетенями вендора и страницей поддержки Chef Automate.
• Ограничить сетевой доступ к API-шлюзу Chef Automate: разместить его во внутреннем сегменте сети, использовать межсетевые экраны и списки разрешённых адресов, исключив прямой доступ из интернета.
• Внедрить дополнительные уровни аутентификации на периметре (например, обратный прокси с проверкой подлинности) до появления патча.
• Усилить мониторинг и логирование обращений к API Chef Automate, обращая внимание на аномальные запросы без аутентификации.
• Провести проверку на наличие признаков компрометации: несанкционированные изменения конфигураций, новые учётные записи, подозрительные обращения к API.

Уязвимость CVE-2026-80462 относится к классу, требующему немедленного внимания: максимальная оценка CVSS, отсутствие необходимости аутентификации и затронутый компонент — API-шлюз — делают её серьёзной угрозой для любой организации, использующей Progress Chef Automate. До выпуска официального патча ключевыми мерами защиты остаются сетевая изоляция сервиса, дополнительная аутентификация на периметре и тщательный мониторинг. Рекомендуется поставить данную уязвимость в приоритет при планировании работ по устранению — наравне с другими критическими уязвимостями инфраструктурного ПО.

Источник: CVE Project (cvelistV5)