CERT Polska opisał trzy podatności w centralach telefonicznych Slican, poprawka jest tylko dla serii IPx
- Rodzaj
- Streszczenie
- Data
- Aktualizacja
- Kategoria
- Aktualności
- Redakcja
- Paweł Rosół
- Źródło
- CERT Polska ()
W centralach Slican wykryto trzy podatności: słabe szyfrowanie komunikacji, SQL injection w WebCTI i jawne hasła tymczasowe. Poprawkę ma seria IPx, a centrale bez wsparcia producenta jej nie dostaną.
CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. opisał 15 października 2026 r. trzy podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. w centralach telefonicznych Slican: CVE-2026-35088, CVE-2026-63314 i CVE-2026-63315. CERT Polska otrzymał zgłoszenie i koordynował proces ujawniania informacji. Dwie podatności dotyczą wyłącznie serii IPx, a pierwsza również central CCT-1668, MAC-6400 i CXS-0424.
CVE-2026-35088 dotyczy komunikacji TCP/IP, w której centrale wykorzystują szyfrowanie symetryczne. Klucz szyfrujący jest zapisany w wielu plikach binarnych, więc atakujący, który zdobędzie do nich dostęp, może odszyfrować komunikację. CVE-2026-63314 to SQL injectionSQL injection Podatność, która pozwala wstrzyknąć do bazy danych własne zapytania, w opisanym przypadku bez uwierzytelnienia. w serwisie WebCTI central IPx, w endpoincie /webcti/admin_json.php. Niewłaściwa walidacja danych wejściowych pozwala przeprowadzić taki atak uwierzytelnionemu użytkownikowi. CVE-2026-63315 polega na tym, że WebCTI przechowuje tymczasowe hasła abonenta jawnym tekstem. Atakujący z dostępem do bazy danych może pozyskać hasło i zalogować się na konto użytkownika.
Wszystkie trzy problemy naprawiono w serii IPx w wersji 6.62.0100. Podatne są wszystkie wersje poniżej niej. Jeśli używasz central IPx, sprawdź, jaką wersję mają.
Inaczej wygląda sytuacja central CCT-1668 (CCT1CPU), MAC-6400 i CXS-0424, których dotyczy CVE-2026-35088. Producent zakończył ich wsparcie, przestały być produkowane w 2011 i 2012 roku i nie będą otrzymywały aktualizacji. Żeby dostać aktualizację oprogramowania, centrale wymagają aktualizacji sprzętowej. Producent zaleca kontakt z serwisem fabrycznym w sprawie ścieżki modernizacji.
Aktualizacja z 17 października 2026
Dla CVE-2026-63314, czyli SQL injection w WebCTI central IPx, jest już ocena ważności: 8,7 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 4.0, poziom wysoki. Wektor opisuje atak z sieci, o niskiej złożoności, wymagający konta o niskich uprawnieniach i niewymagający udziału użytkownika. Wpływ na poufność i integralność ocenono jako wysoki, na dostępność jako niski. OpenCVE zaznacza, że wymóg logowania ogranicza krąg atakujących, ale konto z uprawnieniami administracyjnymi dawałoby pełną kontrolę nad konfiguracją i rekordami centrali.
Na dziś nie ma sygnałów masowego wykorzystywania tej podatności. Wynik EPSS to 0,00225, podatności nie ma w katalogu KEVKatalog KEV Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności., a w ocenie SSVC dołączonej przez CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. wykorzystanie określono jako „none”, automatyzację jako „no”, a wpływ techniczny jako „total”. Rekord CVECVE Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. wskazuje jako zgłaszających Damiana Strojka i Olhę Zozulię.
Źródła
Pojęcia w tym tekście (7)
- CERT Polska
- Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- SQL injection
- Podatność, która pozwala wstrzyknąć do bazy danych własne zapytania, w opisanym przypadku bez uwierzytelnienia.
- CVSS
- Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
- Katalog KEV
- Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności.
- CISA
- Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
- CVE
- Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.