CVE-2026-38820 в Debian: инъекция команд в openNDS, уязвимые версии и защита

CVE: CVE-2026-38820
Продукт: Debian
Дата публикации: 28.08.2026
Критичность: HIGH
CVSS: 8.3 (3.1)
EPSS: 1,74%; процентиль 76,18%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В пакете openNDS для Debian обнаружена уязвимость, позволяющая неавторизованному атакующему выполнить произвольные команды на уровне операционной системы. Проблема затрагивает все активные ветки Debian, включая bookworm, trixie, sid и forky, и пока не имеет исправлений в репозиториях. Статья разбирает механику атаки, условия эксплуатации и способы проверки статуса системы.

Основные характеристики​

Уязвимость позволяет злоумышленнику, имеющему доступ к локальной сети, выполнить произвольные команды на хосте с установленным openNDS без необходимости аутентификации. Это создает прямой риск компрометации системы управления доступом и, потенциально, всей локальной сети.

• Тип ошибки: CWE-78 (OS Command Injection). Ввод пользователя передается в shell без должной санации.
  
• CVSS 3.1: 8.3 (HIGH). Вектор: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L. Высокая оценка обусловлена отсутствием требований к правам и простотой эксплуатации.
  
• Условия атаки: Атакующий должен находиться в той же локальной сети (AV:A). Аутентификация не требуется (PR:N).
  
• Эксплуатация: В каталоге CISA KEV уязвимость не подтверждена. Публичный эксплойт в виде готового кода в источниках не указан.
  
• EPSS: 1,74% (процентиль 76,18%). Модель FIRST оценивает вероятность эксплуатации в ближайшие 30 дней как умеренную.
  

Какие продукты и версии затронуты​

Согласно данным Debian Security Tracker, уязвимость затрагивает пакет opennds во всех поддерживаемых и тестовых релизах Debian. На момент публикации исправлений в репозиториях не появилось.

• bookworm: версия 9.10.0-1. Статус: open. Срочность: end-of-life.
  
• trixie: версия 10.3.1+dfsg-1. Статус: open. Срочность: not yet assigned.
  
• sid (unstable): версия 10.3.1+dfsg-1. Статус: open. Срочность: not yet assigned.
  
• forky: версия 10.3.1+dfsg-1. Статус: open. Срочность: not yet assigned.
  

Все перечисленные версии содержат уязвимый код. Отсутствие исправлений означает, что системы на этих релизах остаются под угрозой до выпуска патча.

Причина уязвимости​

Причина уязвимости кроется в скрипте libopennds.sh, который используется для обработки запросов на эндпоинте /opennds_preauth/. Функция, отвечающая за обработку параметра fas, не выполняет должную санацию входных данных перед передачей их в командную строку операционной системы.

Атакующий может внедрить специальные символы, которые интерпретируются shell, позволяя выполнить произвольные команды. Это классический случай инъекции команд (CWE-78), когда доверие к пользовательскому вводу нарушается из-за отсутствия экранирования.

Как работает атака​

Атака реализуется через отправку HTTP-запроса к эндпоинту /opennds_preauth/ с специально сформированным параметром fas. Поскольку аутентификация на этом этапе не требуется, любой клиент в локальной сети может инициировать запрос.

Значение параметра fas попадает в libopennds.sh, где оно вставляется в строку, передаваемую в shell. Если значение содержит символы, такие как ;, | или &, shell интерпретирует их как разделители команд. Это позволяет атакующему добавить собственные команды к исходной строке и выполнить их с правами процесса openNDS.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости атакующему необходимо выполнить следующие условия:

• Доступ к локальной сети: Атакующий должен быть подключен к той же сети, что и жертва (AV:A). Удаленный доступ через интернет не требуется.
  
• Отсутствие аутентификации: Права доступа не нужны (PR:N). Атакующий не должен быть зарегистрированным пользователем.
  
• Работающий openNDS: Сервис должен быть запущен и слушать на соответствующем порту.
  
• Отсутствие сетевых фильтров: Если порт, на котором работает openNDS, заблокирован межсетевым экраном, атака невозможна.
  

Возможный сценарий атаки​

Злоумышленник подключается к локальной сети, где развернут openNDS. Он сканирует сеть в поисках хоста, на котором запущен сервис. После обнаружения он отправляет HTTP-GET запрос к /opennds_preauth/ с параметром fas, содержащим инъекцию.

Например, значение параметра может включать команду, которая создает обратное соединение или записывает данные в файл. openNDS выполняет эту команду, не проверяя подлинность запроса. В результате атакующий получает выполнение кода на уровне ОС, что позволяет ему эскалировать привилегии или получить доступ к данным.

Есть ли публичный эксплойт​

В официальных источниках, включая NVD и Debian Security Tracker, нет ссылок на публичные PoC или готовые эксплойты. Указан только коммит в репозитории openNDS, который, вероятно, содержит исправление.

Отсутствие публичного эксплойта не означает, что атака невозможна. Механика инъекции команд хорошо изучена, и атакующие могут легко составить собственный payload. Статус «Received» в NVD указывает на то, что уязвимость недавно зарегистрирована, и данные о массовой эксплуатации могут появиться позже.

Признаки эксплуатации​

Специфичных IOC для этой уязвимости в источниках не приведено. Однако можно использовать общие признаки атаки на веб-сервисы:

• Аномальные HTTP-запросы: Запросы к /opennds_preauth/ с параметром fas, содержащим shell-символы (;, |, &, $).
  
• Неожиданные процессы: Запуск процессов, не связанных с работой openNDS, с правами этого сервиса.
  
• Изменения в файловой системе: Создание новых файлов или изменение существующих в директориях, доступных openNDS.
  

Эти признаки неспецифичны и требуют корреляции с другими событиями для подтверждения атаки.

Как обнаружить атаку​

Для обнаружения атаки рекомендуется настроить мониторинг логов openNDS и системных журналов. В логах HTTP-сервера, если он используется в связке, следует отслеживать запросы к /opennds_preauth/ с подозрительными параметрами.

Также полезно настроить алерты на запуск процессов, инициированных пользователем, под которым работает openNDS. Если такие процессы не являются частью штатной работы сервиса, это может указывать на успешную эксплуатацию уязвимости. Использование SIEM-системы поможет автоматизировать поиск таких аномалий.

Как проверить свою версию​

Для проверки версии установленного пакета opennds и статуса системы используйте следующие команды. Замените <имя-пакета> на opennds.

cat /etc/debian_version
cat /etc/os-release
apt-cache policy opennds
dpkg-query -W -f='${Package} ${Version}\n' opennds

Сравните полученную версию с данными из Debian Security Tracker. Если версия совпадает с одной из уязвимых (9.10.0-1, 10.3.1+dfsg-1), система под угрозой.

Исправление​

На данный момент исправлений в репозиториях Debian не существует. Официальный коммит в репозитории openNDS указывает на то, что разработчики уже работают над устранением проблемы.

• Ожидайте обновления: Следите за анонсами в Debian Security Tracker. Как только появится исправленная версия, установите ее немедленно.
  
• Ручное обновление: Если вы используете sid или forky, можно попробовать обновить пакет из unstable, но это может привести к нестабильности системы. Рекомендуется дождаться официального патча.
  
• Альтернативные решения: Если критично, рассмотрите возможность замены openNDS на другой, не уязвимый, или использование прокси-сервера с фильтрацией запросов.
  

Временные меры защиты​

До выхода официального исправления можно применить следующие временные меры:

• Ограничение доступа: Настройте межсетевой экран так, чтобы доступ к порту openNDS был разрешен только из доверенных подсетей. Это снизит риск атаки извне.
  
• Отключение сервиса: Если openNDS не используется, остановите и отключите его. Это полностью устранит вектор атаки.
  
• Мониторинг: Усиленный мониторинг логов и процессов поможет быстро обнаружить признаки атаки и отреагировать на них.
  

Эти меры не устраняют уязвимость, но снижают вероятность успешной эксплуатации.

Как проверить устранение уязвимости​

После установки исправления проверьте, что версия пакета обновлена до безопасной. Используйте команду dpkg-query -W -f='${Package} ${Version}\n' opennds и убедитесь, что версия отличается от уязвимых.

Также проверьте, что сервис работает корректно и не содержит ошибок. Проведите повторное сканирование уязвимостей, чтобы убедиться, что проблема устранена. Если используются средства автоматизации, обновите их базы данных и перепроверьте систему.

Вывод​

CVE-2026-38820 представляет серьезную угрозу для систем Debian с установленным openNDS. Уязвимость позволяет неавторизованному атакующему выполнить произвольные команды, что может привести к полной компрометации системы.

Поскольку исправлений пока нет, администраторам необходимо принять временные меры для снижения риска и внимательно следить за обновлениями. Приоритетом должно быть ограничение сетевого доступа к сервису и усиленный мониторинг.

Официальные источники​

1. NVD — CVE-2026-38820
   
2. Debian Security Tracker — CVE-2026-38820
   
3. FIRST EPSS — CVE-2026-38820
   

История обновлений статьи​

• 31.08.2026 — Опубликована первая версия материала.
  
• 02.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.