Η Ubiquiti προχώρησε σε σημαντικές ενημερώσεις ασφαλείας, κλείνοντας επτά κρίσιμες ευπάθειες στο λειτουργικό σύστημα UniFi. Ανάμεσα σε αυτές, βρίσκεται το σφάλμα με την αναγνώριση CVE-2026-50746, το οποίο μπορεί να επιτρέψει επιθέσεις ένεσης εντολών.
Η συγκεκριμένη ευπάθεια αφορά την εφαρμογή UniFi Connect (εκδόσεις 3.4.16 και ανώτερες) και επηρεάζει σημαντικά τη δυνατότητα των χρηστών να διαχειρίζονται εμπορικές διαδικασίες κτιρίων, όπως έξυπνα συστήματα φωτισμού και ηλεκτρικούς φορτιστές, μέσω μιας ενοποιημένης διεπαφής.
Όπως ανέφερε η Ubiquiti, “Ένας κακόβουλος χρήστης με πρόσβαση στο δίκτυο θα μπορούσε να εκμεταλλευτεί το σφάλμα Μη Κατάλληλου Ελέγχου Πρόσβασης στην εφαρμογή UniFi Connect για να πραγματοποιήσει ένεση εντολών στη συσκευή υποδοχής”.
Η εταιρεία συνιστά στους χρήστες να αναβαθμίσουν την εφαρμογή UniFi Connect στην έκδοση 3.4.20 ή σε νεότερη έκδοση, ώστε να προστατευτούν από πιθανές επιθέσεις.
Επιπλέον, την Πέμπτη, η Ubiquiti ανακοίνωσε την αποκατάσταση άλλων έξι σοβαρών ζητημάτων (CVE-2026-50747 έως CVE-2026-55116) που επηρεάζουν τον διακομιστή UniFi OS και μια ευρεία γκάμα συσκευών της.
Η Ubiquiti δεν έχει παράσχει λεπτομέρειες σχετικά με την πιθανή εκμετάλλευση αυτών των σφαλμάτων πριν από την ανακοίνωση των ενημερώσεων, ωστόσο διαπίστωσε ότι έξι από αυτά μπορούν να εκμεταλλευτούν με χαμηλή πολυπλοκότητα και χωρίς αλληλεπίδραση του χρήστη.
Η εταιρεία πληροφοριών Censys έχει εντοπίσει ότι περισσότερες από 100.000 υλοποιήσεις του UniFi OS είναι εκτεθειμένες στο διαδίκτυο, με τις περισσότερες (σχεδόν 50.000 διευθύνσεις IP) να βρίσκονται στις Ηνωμένες Πολιτείες. Δεν είναι σαφές πόσες από αυτές έχουν ήδη ασφαλιστεί ή αντιμετωπίζονται ως honeypot.
Τα τελευταία χρόνια, προϊόντα της Ubiquiti έχουν συχνά γίνει στόχος κυβερνοεγκληματιών και κρατικών ομάδων απειλών, οι οποίοι τα εκμεταλλεύονται για τη δημιουργία botnet που δυσχεραίνουν την κακόβουλη δραστηριότητα.
Για παράδειγμα, τον Φεβρουάριο του 2024, το FBI διαλύθηκε το botnet Moobot, το οποίο χρησιμοποιούσε δρομολογητές Ubiquiti Edge OS για την υποστήριξη επιθέσεων κυβερνοκατασκοπείας.
Τον Απρίλιο του 2022, η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) προσέθεσε ένα κρίσιμο σφάλμα έγχυσης εντολών (CVE-2010-5330) στο Ubiquiti AirOS στην κατάλογό της, απαιτώντας τις κυβερνητικές υπηρεσίες να επιδιορθώσουν τις συσκευές τους εντός τριών εβδομάδων.
Πιο πρόσφατα, τον Ιούνιο, η CISA προειδοποίησε ότι οι hackers εκμεταλλεύονται ενεργά τρία σοβαρά τρωτά σημεία του UniFi OS που είχαν διορθωθεί νωρίτερα και ζήτησε από τις επιχειρήσεις να ασφαλίσουν τα συστήματά τους το ταχύτερο δυνατό.
Ο οργανισμός ασφάλειας Bishop Fox επιβεβαίωσε ότι αυτά τα τρωτά σημεία μπορούν να συνδεθούν και να οδηγήσουν σε απομακρυσμένη εκτέλεση κώδικα με αυξημένα προνόμια και εξέδωσε και ένα δωρεάν σενάριο ανίχνευσης για τους χρήστες της εφαρμογής.
Η πλειονότητα των επιτυχημένων επιθέσεων, που φτάνει το 54%, καταγράφεται από ομάδες ασφαλείας, ενώ μόλις το 14% ειδοποιεί. Οι υπόλοιπες δραστηριότητες διευθύνονται στο περιβάλλον σας ανενόχλητα.
Η λευκή βίβλος Picus αναλύει το πώς η προσομοίωση επιθέσεων και παραβιάσεων μπορεί να δοκιμάσει τους κανόνες σας για τον εντοπισμό απειλών, έτσι ώστε αυτές να μην ξεφεύγουν από την παρακολούθηση.
