یک آسیب‌پذیری بحرانی از نوع اجرای کد از راه دور (Remote Code Execution یا RCE) در سیستم مدیریت امنیتی Integra32 محصول شرکت RBH Access Technologies (نسخه 5.1.11 R5.0) شناسایی شده است. این نقص امنیتی که با شناسه CVE-2026-63079 ثبت شده، به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت، کدهای مخرب را با بالاترین سطح دسترسی در سیستم (NT AUTHORITYSYSTEM) اجرا کنند.
تحلیل فنی و ریشه آسیب‌پذیری
این مشکل از یک نقص در فرآیند Deserialization (ناپوشاندن داده‌های سریال‌شده) در سرویس قدیمی .NET Remoting ناشی می‌شود. این سرویس از طریق کتابخانه AxcvcLt.dll و روی پورت TCP 2001 فعال است. تحلیل‌ها نشان می‌دهد که این سرویس از BinaryServerFormatterSinkProvider با تنظیمات TypeFilterLevel.Full استفاده می‌کند.
در حالت TypeFilterLevel.Full، سیستم اجازه می‌دهد گراف‌های پیچیده اشیاء (Object Graphs) و انواع داده‌های دلخواه بازسازی شوند، بدون اینکه اعتبارسنجی سخت‌گیرانه‌ای روی آن‌ها صورت گیرد. این وضعیت منجر به ایجاد یک نقص از نوع CWE-502 می‌شود که مهاجم می‌تواند با ارسال یک زنجیره گجت (Gadget Chain) طراحی‌شده (مانند پادمان‌های TypeConfuseDelegate در ابزار ysoserial.net)، کنترل کامل پردازش سرور را در دست بگیرد.
بردار حمله و اثرات
- دسترسی: مهاجم تنها به دسترسی شبکه به پورت TCP 2001 نیاز دارد.
- احراز هویت: هیچ‌گونه احراز هویتی برای بهره‌برداری از این نقص لازم نیست (Unauthenticated).
- پیامد: اجرای کد با دسترسی SYSTEM که منجر به تسخیر کامل میزبان، خواندن/نوشتن فایل‌های سیستمی و حتی اجبار سیستم به ارسال درخواست‌های NTLMv2 به سرورهای مهاجم (Credential Coercion) می‌شود.
وضعیت اکسپلویت و ریسک
در حال حاضر یک اثبات مفهوم (PoC) در قالب یک Gist منتشر شده است، هرچند کد اجرایی تأییدشده‌ای برای بهره‌برداری گسترده در دسترس نیست. با توجه به اینکه Integra32 یک نرم‌افزار تخصصی برای کنترل دسترسی فیزیکی است، احتمال حملات هدفمند (Targeted Attacks) بیشتر از حملات گسترده در مقیاس اینترنت است. با این حال، امتیاز CVSS 4.0 این آسیب‌پذیری 9.3 است که نشان‌دهنده ریسک بسیار بالا برای سازمان‌های کاربر این محصول است.
راهکارهای کاهش ریسک و مقابله
تا این لحظه هیچ پَچ (Patch) رسمی یا نسخه‌ی اصلاح‌شده‌ای از سوی سازنده معرفی نشده است. بنابراین، اقدامات زیر برای کاهش ریسک توصیه می‌شود:
- محدودسازی شبکه: دسترسی به پورت TCP 2001 را از طریق فایروال یا بخش‌بندی شبکه (Network Segmentation) محدود کنید تا تنها ایستگاه‌های کاری مدیریت مورد اعتماد بتوانند به این پورت متصل شوند.
- مسدودسازی ترافیک خروجی: ترافیک خروجی SMB (پورت TCP 445) از سرور Integra32 را مسدود کنید تا مسیر سرقت اعتبارنامه‌های NTLMv2 قطع شود.
- غیرفعال‌سازی سرویس: در صورتی که به قابلیت‌های .NET Remoting نیاز ندارید، این مؤلفه قدیمی را غیرفعال یا حذف کنید.
- کاهش سطح دسترسی: سرویس Integra32 را به جای حساب SYSTEM، تحت یک حساب کاربری با دسترسی‌های محدود اجرا کنید تا اثرات پس از بهره‌برداری (Post-Exploitation) کاهش یابد.
