SecAtor

Опубликован эксплойт для новой уязвимости в приложении для передачи файлов Cleo Harmony, а значит где-то в киберподполье потирают руки участники банды вымогателей Cl0p. Уязвимость позволяет удалённым злоумышленникам обходить аутентификацию путём манипулирования аргументами носителя. Разработчики в срочном порядке призывают клиентов незамедлительно устранить новую уязвимость. Уязвимость отслеживается как CVE-2026-84115 и затрагивает логику обновления JWT-токена, позволяя удаленным злоумышленникам повышать свои привилегии путем манипулирования аргументом bearer. Уязвимость была обнаружена в функции файла /api/connections. Злоумышленник может создать вредоносную ПО, которая изменяет аргументы в HTTP-заголовках, обходя средства контроля доступа и приводя к повышению привилегий. По данным VulnDB, эксплойт, нацеленный на эту уязвимость, стал общедоступен, что значительно повышает риск её использования во всех организациях, работающих с Cleo Harmony. Стратегия эксплуатации обычно включает перехват легитимного трафика или подделку новых запросов, в которых обходится логика обновления JWT с помощью некорректно сформированных или повторно использованных токенов носителя. Исследователи отмечают, что злоумышленники могут использовать эту уязвимость для обеспечения постоянного доступа, повышения своих привилегий или перехода на другие системы, с которыми интегрирована Cleo Harmony. Уязвимость была устранена в Cleo Harmony 5.8.1.11, но Cleo воздержалась от предоставления каких-либо подробностей об ошибке в своем уведомлении. Клиентам Cleo Harmony следует как можно скорее обновить свои экземпляры. Как отмечает WatchTowr, уязвимое приложение является «излюбленной» целью для группировок, практикующих вымогательство. Причем, в компании уже воспроизвели уязвимость. Причем, в конце 2024 года группа вымогателей Cl0p уже имела опыт «плодотворной» работы с уязвимостями в продуктах Cleo, поставив на счетчик десятки крупных организаций. Так что снаряд на этот раз вполне может прилететь в ту же воронку. Но будем посмотреть.