Критические уязвимости n8n позволяют захватить серверы через публичные эксплойты

Критические уязвимости n8n угрожают полным захватом серверов

Специалисты по кибербезопасности обнаружили несколько критических уязвимостей в n8n — популярной платформе автоматизации рабочих процессов с открытым исходным кодом. Эти уязвимости позволяют злоумышленникам выйти за пределы «песочницы» приложения и получить полный контроль над сервером. В настоящее время доступны публичные proof-of-concept (PoC) эксплойты, что повышает срочность установки патчей для организаций.

Технические детали уязвимостей

Уязвимости, зарегистрированные под идентификаторами CVE-2024-31205, CVE-2024-31206 и CVE-2024-31207, связаны с неправильной валидацией входных данных и механизмами выхода из «песочницы» в движке выполнения рабочих процессов n8n. В частности:

• CVE-2024-31205 (CVSS 9.8): Уязвимость удалённого выполнения кода (RCE), вызванная недостаточной санацией пользовательского ввода в выражениях рабочих процессов. Злоумышленники могут внедрить произвольный JavaScript-код, который выполняется в контексте сервера.
• CVE-2024-31206 (CVSS 8.8): Уязвимость выхода из «песочницы», позволяющая обойти ограниченную среду выполнения n8n и получить доступ к системным ресурсам.
• CVE-2024-31207 (CVSS 7.5): Уязвимость подделки межсерверных запросов (SSRF), дающая возможность взаимодействовать с внутренними сервисами, что может привести к дальнейшей эксплуатации.

Эти уязвимости затрагивают n8n версии до 1.31.2. Они были обнаружены исследователями из SonarSource, которые сообщили о них разработчикам n8n в апреле 2024 года. Исправленные версии были выпущены 14 мая 2024 года одновременно с публичным раскрытием информации об уязвимостях.

Риски эксплуатации и последствия

Публичная доступность PoC-эксплойтов значительно увеличивает риск массовых атак. Организации, использующие уязвимые версии n8n, сталкиваются со следующими угрозами:

• Полный захват сервера: Злоумышленники могут выполнять произвольные команды, похищать конфиденциальные данные или устанавливать вредоносное ПО.
• Латеральное перемещение: Скомпрометированные экземпляры n8n могут служить точкой входа для дальнейших атак во внутренней сети.
• Утечки данных: Несанкционированный доступ к рабочим процессам, содержащим учётные данные, API-ключи или другую чувствительную информацию.

Учитывая широкое распространение n8n в DevOps и конвейерах автоматизации, потенциальная поверхность атаки значительна. Специалистам по безопасности рекомендуется уделить первоочередное внимание установке патчей, особенно для экземпляров, доступных из интернета.

Меры по снижению рисков и рекомендации

Компания n8n выпустила версию 1.31.2, в которой устранены все три уязвимости. Организациям следует:

1. Немедленно обновиться: Установить последний патч на все развёрнутые экземпляры n8n.
2. Изолировать уязвимые системы: Ограничить сетевой доступ к серверам n8n до установки патчей.
3. Провести аудит рабочих процессов: Проверить существующие рабочие процессы на наличие признаков вмешательства или несанкционированных изменений.
4. Мониторинг эксплуатации: Развернуть правила обнаружения для выявления попыток эксплуатации этих уязвимостей, например, необычных шаблонов выполнения JavaScript или исходящих SSRF-запросов.

Для сред, где немедленное обновление невозможно, рекомендуется внедрить защиту на уровне сети, например, использовать межсетевые экраны веб-приложений (WAF), чтобы блокировать известные векторы атак.

Источники

• n8n Security Advisory (Официальные рекомендации разработчиков)
• SonarSource Research Blog (Технический анализ уязвимостей)
• База данных уязвимостей NIST (NVD) (Детали CVE и оценка CVSS)