CVE-2026-2699

Auth Bypass i RCE w Progress ShareFile Storage Zones Controller

CVSS 9.8v3.1pub. 2026-04-02upd. 2026-04-21

Podatność w Progress ShareFile Storage Zones Controller (Customer Managed) umożliwia nieuwierzytelnionemu atakującemu dostęp do chronionych stron konfiguracyjnych systemu. W konsekwencji może dojść do zmiany konfiguracji systemu oraz wykonania zdalnego kodu (RCE).

▸ Pokaż oryginał (EN)

Customer Managed ShareFile Storage Zones Controller (SZC) allows an unauthenticated attacker to access restricted configuration pages. This leads to changing system configuration and potential remote code execution.

🤖 Analiza AI

Jak działa

Atakujący bez żadnego uwierzytelnienia może uzyskać dostęp do zastrzeżonych stron konfiguracyjnych komponentu Storage Zones Controller. Brak właściwej kontroli dostępu (CWE-284) pozwala na ominięcie mechanizmów autoryzacji i bezpośrednie odwołanie się do chronionych zasobów administracyjnych. Po uzyskaniu dostępu do panelu konfiguracyjnego atakujący może modyfikować ustawienia systemowe w sposób prowadzący do zdalnego wykonania kodu na serwerze.

Skutki

Atakujący może przejąć pełną kontrolę nad serwerem poprzez wykonanie dowolnego kodu (RCE), a także zmodyfikować konfigurację systemu, co może skutkować naruszeniem poufności, integralności i dostępności danych przechowywanych w środowisku ShareFile.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły dostępne pod adresem: https://docs.sharefile.com/en-us/storage-zones-controller/5-0/security-vulnerability-feb26. Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu sieciowego do panelu administracyjnego Storage Zones Controller wyłącznie do zaufanych adresów IP.

Kogo dotyczy

Progress ShareFile Storage Zones Controller (Customer Managed) — wersje wskazane w referencjach producenta (dokumentacja bezpieczeństwa z lutego 2026).

Uwagi

Dostępny jest publiczny proof-of-concept opublikowany przez watchTowr Labs (repozytorium GitHub: watchtowrlabs/watchTowr-vs-Progress-ShareFile-CVE-2026-2699), co znacząco podnosi ryzyko wykorzystania podatności w środowiskach produkcyjnych.