Хакер #311. Сетевые протоколы под микроскопом
Аналитики BI.ZONE проанализировали хранилище секретов с открытым исходным кодом Vaultwarden, чей API совместим с Bitwarden. По данным компании, в 2025 году этим решением пользуется каждая десятая российская компания. Специалисты обнаружили в Vaultwarden две опасные уязвимости.
Исследователи отмечают, что как и любое хранилище секретов, Vaultwarden — критически важный сервис, требующий повышенного внимания команд безопасности. Его компрометация влечет множество рисков, в том числе раскрытие конфиденциальных данных компании.
Обнаруженным уязвимостям присвоены идентификаторы CVE-2025-24364, CVE-2025-24365. Они затрагивают версии софта до 1.32.7 и исправлены в версии 1.33.0.
Уязвимость CVE-2025-24365 связана с механизмом проверки прав. К примеру, злоумышленник состоит в организации А, но у него ограниченные права. Он создает организацию B, где по умолчанию становится администратором. Затем он отправляет запрос на эндпоинты, при этом указывая в пути идентификатор организации A, а в GET-параметре — идентификатор организации B. В результате атакующий получает права администратора в организации A.
CVE-2025-24364 относится к RCE-уязвимостям, то есть позволяет реализовать удаленное выполнение кода. Если у атакующего есть доступ к панели администратора, он запускает произвольные команды на сервере и может узнать секреты всех организаций внутри хранилища. В результате злоумышленник может перехватить управление системой или ее отдельными компонентами, а также похитить конфиденциальные данные.
«Поскольку секреты от других внутренних сервисов хранятся в Vaultwarden, при его взломе атакующий узнает и их. А если продукт автоматически получает секреты с помощью API, злоумышленник попадет на хост с обширной сетевой связностью, — комментирует руководитель группы исследования уязвимостей Павел Блинников. — Чтобы снизить поверхность атаки и предотвратить компрометацию хранилища секретов, мы рекомендуем отключать функциональность, которую вы не используете, а также обновить софт до последней версии».
