آسیب‌پذیری امنیتی جدیدی با شناسه CVE-2026-97362 در نرم‌افزار Rejetto HFS2 (نسخه 2.4.0 و قدیمی‌تر) شناسایی شده است که امکان اجرای حمله Denial of Service (DoS) را به صورت از راه دور و بدون نیاز به احراز هویت فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی از نوع CWE-835 (حلقه با شرط خروج غیرقابل دسترس) است. مهاجم می‌تواند با ارسال تنها یک درخواست دستکاری شده (Crafted Request) به مسیر پردازش getini، یکی از Threadهای سرویس‌دهنده را وارد یک حلقه بی‌نهایت (Infinite Busy Loop) کند. این اتفاق منجر به مصرف کامل منابع CPU و پاسخ ندادن سرور به تمامی کلاینت‌ها می‌شود.
تاثیرات و مخاطرات
- عدم نیاز به تعامل کاربر: حمله به صورت کاملاً خودکار و بدون دخالت کاربر هدف اجرا می‌شود.
- توقف پایدار: این نقص امنیتی هیچ مکانیزم Timeout یا بازیابی خودکار ندارد؛ بنابراین سرویس تا زمانی که توسط اپراتور به صورت دستی Restart نشود، در دسترس نخواهد بود.
- پیچیدگی پایین: اجرای این حمله به دلیل ساختار تک-درخواستی (Single-request)، بسیار ساده و سریع است.
توصیه‌های امنیتی و کاهش ریسک
به مدیران شبکه و تیم‌های SOC توصیه می‌شود اقدامات زیر را در سریع‌ترین زمان ممکن اجرا کنند:
- شناسایی دارایی‌ها: تمامی نسخه‌های فعال Rejetto HFS2 در شبکه را شناسایی کرده و نسخه‌های 2.4.0 و قدیمی‌تر را علامت‌گذاری کنید.
- محدود کردن دسترسی: دسترسی مستقیم این سرویس از طریق اینترنت را قطع کرده و Listener را تنها به
localhostیا زیرشبکه‌های مورد اعتماد (Trusted Subnets) محدود کنید. - اعمال قوانین Firewall: از قوانین ACL و دیواره‌های آتش برای مسدود کردن دسترسی‌های غیرمجاز به پورت‌های HFS2 استفاده نمایید.
