Turbega seotud probleem SUSE Manager'is, mis võimaldab teha root-operationsid ilma autentimiseta.

SUSE Manageri tööriistakomplektis, mis on mõeldud IT-infrastruktuuri kesksete haldamiseks, kus kasutatakse erinevaid Linuxi jaotusi, leiti haavatavus (CVE-2025-46811), mis võimaldab autentimiseta käske täita kõigis süsteemides, mida haldab SUSE Manager. Käskude täitmine toimub root-õiguste all, võimaldades saavutada täieliku kontrolli kogu infrastruktuuri üle. Probleemile on määratud kriitiline ohuaste (9.3 skaalal 10).

Haavatavus tuleneb WebSocket protokolli kaudu käske vastu võtva käitleja olemasolust (kutsumine „/rhn/websocket/minion/remote-commands”), mis ei piira juurdepääsu. Iga kasutaja, kellel on võimalus pakette saata võrguporti 443 suunatud serveris SUSE Managerist, võib täita suvalisi käske root-õiguste all kõigis süsteemides, mida haldab SUSE Manager. Autentimiseta pöördumiseks on piisav, kui esitatud päringu koostamisel lihtsalt mitte saata seansi identifikaatorit (SessionId).

Probleem ilmneb nii eraldi jaotatavates SUSE Manageri versioonides kui ka SUSE Linuxi installipiltides ja konteinerites, mis on varustatud SUSE Manageriga (nt SLES15-SP4-Manager-Server). Haavatavus on olemas kuni versioonini SUSE Manager 5.0.4.1 ning on kõrvaldatud uuendustes 4.3.16 ja 5.0.5.

Allikas: opennet.ru