Jogosultságszint-emelés a Frappe ERPNextben: hitelesített felhasználók kiemelt jogosultságú fiókokat hozhatnak létre (CVE-2026-109667)

Mi történt

A Frappe ERPNext jogosultságszint-emelési sérülékenységet tartalmaz a rekordlétrehozó végpontban. A végpont a kérésből veszi át a rekord típusát, és a rekordot a jogosultság-ellenőrzések kikapcsolásával szúrja be. Mivel a rekordtípus nincs korlátozva, bármely hitelesített felhasználó – beleértve azt is, aki semmilyen operatív szerepkörrel nem rendelkezik – megadhat kiemelt jogosultságú rekordtípust. Ez lehetővé teszi, hogy egy alacsony jogosultságú fiók további kiemelt jogosultságú fiókokat hozzon létre, és végül teljes irányítást szerezzen az ERPNext-példány felett. A sérülékenység hálózaton keresztül elérhető, nem igényel felhasználói beavatkozást, CVSS 4.0 szerinti pontszáma 8,7 (magas). A CVE-rekord nem állítja, hogy a gyakorlatban kihasználást észleltek volna.

Kit érint

Az érintett verziók: az erpnext 15.111.0 előtti kiadásai, valamint az erpnext 16.0.0-beta.1-től a 16.22.0 előtti verziókig. Ha ERPNext-et futtat, ellenőrizze, hogy az alkalmazott kiadás a két tartomány valamelyikébe esik-e. A sérülékenység az alaptermékben található, és bármely hitelesített felhasználó elérheti, így a kitettség nem korlátozódik a rendszergazdákra vagy az operatív szerepkörrel rendelkező felhasználókra.

Mit kell most tenni

1. Azonnal telepítse a biztonsági javítást. A Frappe kiadta az erpnext 15.111.0 verziót a 15.x ághoz, az erpnext 16.22.0 verziót pedig a 16.x ághoz. Frissítsen a megfelelő javított kiadásra.
2. A rendelkezésre álló közleményadatok nem tartalmaznak kerülő megoldást, ezért a biztonsági javítás telepítése az elsődleges kárelhárítás.
3. Amíg a javítási folyamat be nem fejeződik, csökkentse azoknak a fiókoknak a számát, amelyek bejelentkezhetnek az ERPNext-példányba, mert bármely hitelesített fiók elérheti a sérülékeny végpontot.
4. Tekintse át a meglévő kiemelt jogosultságú fiókokat, és távolítsa el vagy tiltsa le azokat, amelyek nem köthetők jogszerű üzleti változtatáshoz.

Hogyan észlelhető

Ellenőrizze az ERPNext felhasználói listáit, hogy újonnan létrehozott, magas jogosultságú fiókokat találjon, különösen azokat, amelyeket olyan felhasználók hoztak létre, akik rendszerint nem adminisztrálják a rendszert. A sérülékenység kiemelt jogosultságú fiókok létrehozását teszi lehetővé, ezért a kihasználás legközvetlenebb jele egy olyan kiemelt jogosultságú fiók, amelyre nincs elfogadható magyarázat. A CVE-rekord nem tartalmaz a gyártó által közzétett kompromittálódásra utaló jeleket.

A javításon túl

Ez egy olyan incidens, ahol a javítás telepítése az elsődleges teendő, de a mögöttes tanulság az, hogy az alacsony jogosultságú fiók teljes irányításra való kiterjesztése a legveszélyesebb akkor, ha a köztes lépést senki sem veszi észre. A Menedzselt kiberbiztonsági felügyelet pontosan erre készült: az EDR- és SIEM-telemetria riaszthat, ha egy alacsony jogosultságú felhasználó hirtelen kiemelt jogosultságú fiókokat hoz létre. Azoknak a csapatoknak, amelyek az ERPNext mellett más üzleti alkalmazásokat is futtatnak, az Ellátási lánc védelem és harmadik feles kockázat segít nyomon követni, hogy mely verziókat futtatják, és a gyártók milyen gyorsan adják ki a javításokat, így egy ilyen közlemény már akkor eljut a megfelelő felelőshöz, amikor a javítás még egyszerűen telepíthető.