Trois vulnérabilités corrigées dans UniFi OS Server permettent l'exécution de code à distance avec des privilèges root sans authentification

Bishop Les chercheurs de Fox ont montré qu'il est possible de canaliser trois vulnérabilités déjà corrigées dans UniFi OS Server pour obtenir l'exécution de code à distance avec des privilèges racine sans authentification préalable: CVE-2026-34908, CVE-2026-34909 et CVE-2026-34910. Bien qu'Ubiquiti ait publié des patchs en mai pour les versions 5.0.6 et précédentes, l'avertissement du fournisseur n'a pas expliqué que les échecs pouvaient être combinés pour un engagement total de l'équipe, que les chercheurs ont joué dans un UniFi OS Server 5.0.6.

En termes simples, la chaîne fonctionne par manque de coordination entre la validation d'authentification et le routage de l'application : le composant d'authentification évalue l'URI sans normalisation alors que Nginx survole l'URI normalisé. Cela permet la construction d'applications qui semblent aborder des points sans authentification sous leur forme brute mais qui, après normalisation, atteignent des itinéraires protégés internes. Il y a une vulnérabilité de chemin traversant qui expose les fichiers et une injection de commandes dans un paramètre de mise à jour de paquet ; les commandes injectées sont exécutées avec le compte de service du processus lui-même, qui a un sudo sans mot de passe pour plusieurs binaires, rendant l'élévation racine triviale.

La gravité pratique est élevée Parce qu'UniFi Le système d'exploitation n'est pas un système isolé : il agit comme un plan de gestion de réseau et, dans de nombreuses organisations, contrôle les caméras, les portes physiques et les identités. Seraciner dans cette application équivaut à avoir un contrôle administratif sur tous les éléments que le système règle, avec le potentiel de persistance, le vol de lettres de créances et les mouvements latéraux silencieux. L'évêque Fox souligne que l'attaque ne laisse aucune trace d'échec des tentatives d'authentification, ce qui complique la détection légale traditionnelle.

Les détails techniques et la validation du parcours d'exploitation sont disponibles dans le rapport de Bishop Fox, qui offre également un outil de vérification sûr pour détecter la vulnérabilité sans exécuter de commandes dangereuses: analyse technique de Bishop Fox et script de détection GitHub. Il convient également de consulter les rubriques de suivi publiques de la CVE, par exemple: CVE-2026-34910 en NVD.

Si vous administrez UniFi OS Server, les actions immédiates recommandées sont claires: mise à jour sur UniFi OS Server 5.0.8 ou ultérieure et vérifier que la mise à jour est appliquée à un système qui n'a pas déjà été compromis. Mettre à jour un équipement déjà contaminé sans triage peut retenir les portes arrière et la persistance. Comme l'opération n'exige pas de justificatifs, il est nécessaire d'assumer la possibilité d'un engagement et de procéder à l'isolement, au déversement et à l'analyse médico-légale de l'unité touchée avant de la restaurer ou de la séparer.

En plus de la mise à jour, il est essentiel de passer en revue les signes d'exploitation indirecte : recherche de demandes contenant '/ api / auth / validant-sso /' ou accès au paramètre 'ucs / update / latest _ package', processus enfant inhabituels sous 'ucs-update' et commandes sudo inattendues. Ces signaux ne garantissent pas une détection complète, mais aident à prioriser les systèmes d'analyse profonde. L'évêque Fox avertit que l'identification des fermes passées sera difficile parce qu'il n'y a aucune trace de tentatives de connexion ratées.

Au niveau de l'atténuation continue, il convient de renforcer l'isolement du plan de gestion : limiter l'accès aux interfaces UniFi aux réseaux administratifs, appliquer des règles de pare-feu qui n'autorisent que les connexions des VPN ou des bastions de gestion, segmenter les caméras VLAN séparées et les contrôleurs physiques et vérifier les comptes de service avec des privilèges de sudo sans mot de passe. Réduire la superficie exposée et appliquer le principe de moins de privilège aider des échecs similaires ne donnent pas lieu à des engagements totaux.

Enfin, intégrer ces leçons dans votre cycle de réponse à la vulnérabilité : prioriser les évaluations de chaîne complète (pas seulement les correctifs isolés), automatiser les contrôles d'intégrité après une mise à jour et envisager des tests de pénétration qui simulent les chaînes de faille. Si vous soupçonnez un engagement, communiquez avec votre équipe d'intervention en cas d'incident et conservez les preuves avant de restaurer ou de mettre à jour, et utilisez des outils publics comme celui offert par Bishop Fox pour identifier les cas vulnérables en toute sécurité.