Критическая уязвимость обхода авторизации в Unblu Spark (CVE-2026-9589)
В Unblu Spark 7.0–8.36.1-hotfix.0 обнаружена критическая уязвимость (CVSS 9.3), позволяющая аутентифицированному злоумышленнику читать и изменять конфигурацию чужих сущностей, включая другие аккаунты и, в облачной версии, аккаунты других клиентов. Требуется срочное обновление.
Подробности
Уязвимость присутствует в Unblu inc. Unblu Spark версий с 7.0 по 8.36.1-hotfix.0 включительно. Причина — отсутствие проверки авторизации в операциях каскадной конфигурации Collaboration Server: сервер не проверяет, имеет ли пользователь, читающий или изменяющий конфигурацию, доступ к сущности, которой эта конфигурация принадлежит. В результате аутентифицированный удалённый атакующий может читать и изменять свойства конфигурации сущностей, к которым у него нет прав, — включая других пользователей, другие аккаунты, а в Unblu Cloud — и аккаунты других клиентов. Дополнительно: при определённых нестандартных настройках валидации конфигурации зарегистрированный пользователь может записывать свойства конфигурации, которые ему редактировать не разрешено, в любом скоупе. Для эксплуатации достаточно аутентифицированной сессии — взаимодействие с пользователем не требуется.Что делать
- Обновите Unblu Spark до версии новее 8.36.1-hotfix.0, содержащей исправление (актуальную версию уточняйте у вендора). - Если обновление невозможно, ограничьте доступ к Collaboration Server доверенными пользователями и проверьте настройки валидации конфигурации — отказ от нестандартных схем снижает дополнительный вектор записи. - Проведите аудит журналов на предмет подозрительных операций чтения и изменения конфигурации, особенно обращений к чужим сущностям и аккаунтам. - Для облачных инсталляций уточните у Unblu статус применения исправления на стороне провайдера. Итог: CVE-2026-9589 — критическая уязвимость обхода авторизации, допускающая несанкционированное чтение и изменение конфигурации вплоть до аккаунтов других клиентов в облаке. Учитывая низкий порог эксплуатации (только аутентификация), обновление следует провести в приоритетном порядке.Источник: CVE Project (cvelistV5)