Në mjetin SUSE Manager, i cili është i destinuar për menaxhimin e centralizuar të infrastrukturës IT që përdor distro të ndryshme Linux, është zbuluar një dobësi (CVE-2025-46811) që lejon ekzekutimin e komandave në çdo sistem të menaxhuar përmes SUSE Manager pa autentikim. Komandat ekzekutohen me privilegje root, duke lejuar kështu kontroll të plotë mbi gjithë infrastrukturën. Problemi ka marrë një nivel të rrezikshmërisë kritike (9.3 nga 10).
DobĂ«sia shkaktohet nga pranimi i komandave pĂ«rmes njĂ« trajtuesi nĂ« protokollin WebSocket (thirrje "/rhn/websocket/minion/remote-commands"), pa kufizuar aksesin. Ădo pĂ«rdorues qĂ« ka mundĂ«sinĂ« tĂ« dĂ«rgojĂ« paketa nĂ« portin rrjetor 443 nĂ« serveri SUSE Manager mund tĂ« ekzekutojĂ« komanda arbitrare me privilegje root nĂ« tĂ« gjitha sistemet e menaxhuara pĂ«rmes SUSE Manager. PĂ«r tĂ« bĂ«rĂ« njĂ« thirrje pa autentikim mjafton tĂ« mos dĂ«rgohet identifieri i sesionit (SessionId) nĂ« momentin e formimit tĂ« kĂ«rkesĂ«s.
Problemi shfaqet si në paketat e shpërndara veçmas të SUSE Manager, ashtu edhe në imazhet dhe kontejnerët instalues të SUSE Linux, që ofrohen me SUSE Manager (për shembull, SLES15-SP4-Manager-Server). Dobësia është e pranishme deri në versionin SUSE Manager 5.0.4.1 dhe është eliminuar në përditësimet 4.3.16 dhe 5.0.5.
Burimi: opennet.ru
