CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2026-34909

Path Traversal w UniFi OS — dostęp do plików systemowych i przejęcie konta

CVSS 10.0v3.1pub. 2026-05-22upd. 2026-06-24

Podatność typu path traversal w urządzeniach UniFi OS umożliwia nieuwierzytelnionemu atakującemu z dostępem do sieci odczyt plików systemowych. Pliki te mogą zostać zmanipulowane w celu uzyskania dostępu do konta w systemie operacyjnym.

▸ Pokaż oryginał (EN)

A malicious actor with access to the network could exploit a Path Traversal vulnerability found in UniFi OS devices to access files on the underlying system that could be manipulated to access an underlying account.

🤖 Analiza AI

Jak działa

Atakujący posiadający dostęp do sieci, w której działa urządzenie UniFi OS, może wysłać specjalnie spreparowane żądanie zawierające sekwencje path traversal (np. '../'). Pozwala to na wyjście poza dozwolony katalog i odczyt arbitralnych plików na poziomie systemu operacyjnego. Odczytane pliki mogą zawierać dane uwierzytelniające lub konfiguracyjne, których manipulacja umożliwia przejęcie konta systemowego.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych plików systemowych oraz przejąć kontrolę nad kontem w systemie operacyjnym urządzenia, co potencjalnie prowadzi do pełnego przejęcia urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://community.ui.com/releases/Security-Advisory-Bulletin-064-064/84811c09-4cf4-42ab-bd61-cc994445963b

Kogo dotyczy

Urządzenia z systemem UniFi OS — konkretne wersje wskazane w referencjach producenta (Security Advisory Bulletin 064).

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Ui Enterprise Fortress Gateway
HW
Ui
wszystkie wersje
Ui Enterprise Fortress Gateway Firmware
OS
Ui
< 5.1.12
Ui Enterprise Network Video Recorder
HW
Ui
wszystkie wersje
Ui Enterprise Network Video Recorder Core
HW
Ui
wszystkie wersje
Ui Enterprise Network Video Recorder Core Firmware
OS
Ui
< 5.1.12
Ui Enterprise Network Video Recorder Firmware
OS
Ui
< 5.1.12
Ui Unas 2
HW
Ui
wszystkie wersje
Ui Unas 2 Firmware
OS
Ui
< 5.1.10
Ui Unas 4
HW
Ui
wszystkie wersje
Ui Unas 4 Firmware
OS
Ui
< 5.1.10
Ui Unas Pro
HW
Ui
wszystkie wersje
Ui Unas Pro 4
HW
Ui
wszystkie wersje
Ui Unas Pro 4 Firmware
OS
Ui
< 5.1.10
Ui Unas Pro 8
HW
Ui
wszystkie wersje
Ui Unas Pro 8 Firmware
OS
Ui
< 5.1.10
Ui Unas Pro Firmware
OS
Ui
< 5.1.10
Ui Unifi Cloud Gateway Fiber
HW
Ui
wszystkie wersje
Ui Unifi Cloud Gateway Fiber Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloud Gateway Industrial
HW
Ui
wszystkie wersje
Ui Unifi Cloud Gateway Industrial Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloud Gateway Max
HW
Ui
wszystkie wersje
Ui Unifi Cloud Gateway Max Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloud Gateway Ultra
HW
Ui
wszystkie wersje
Ui Unifi Cloud Gateway Ultra Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloudkey
HW
Ui
wszystkie wersje
Ui Unifi Cloudkey Enterprise
HW
Ui
wszystkie wersje
Ui Unifi Cloudkey Enterprise Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloudkey Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloud Key Plus
HW
Ui
wszystkie wersje
Ui Unifi Cloud Key Plus Firmware
OS
Ui
< 5.1.12

CISA KEV — szczegółyi

Dostawcai: Ubiquiti
Produkti: UniFi OS
Data dodania do KEVi: 23 czerwca 2026
Termin remediation (USA)i: 26 czerwca 2026(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami dostawcy, zapewniając zgodność ze wskazówkami CISA BOD 26-04 Prioritizing Security Updates Based on Risk (zobacz URL w Notatkach) i CISA "Forensics Triage Requirements" (zobacz URL w Notatkach). Postępuj zgodnie z obowiązującymi wskazówkami BOD 26-04 dla usług chmurowych lub zaprzestań używania produktu, jeśli mitygacje są niedostępne. Interesariusze są odpowiedzialni za ocenę ekspozycji na internet każdego zasobu i zapewnienie zgodności z wytycznymi dotyczącymi łatania BOD 26-04.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Opis CISAi

Ubiquiti UniFi OS zawiera lukę path traversal, która mogłaby umożliwić złośliwemu aktorowi z dostępem do sieci dostęp do plików na systemie bazowym, którymi można manipulować w celu uzyskania dostępu do konta bazowego.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Ubiquiti UniFi OS contains a path traversal vulnerability which could allow a malicious actor with access to the network to access files on the underlying system that could be manipulated to access an underlying account.

🔴