FlawOpen

flawopen.com/Incidents/ahsaycbs-auth-bypass-command-injection-october-2026

● Ahsay · CVE-2026-105133 · 2026-10-07 · CVSS 10.0 · अति गंभीर
सुरक्षा अनुसंधान · FlawOpen

AhsayCBS: प्रमाणीकरण बायपास के बाद कमांड इंजेक्शन

2026-10-12 तक Huntress के अनुसार AhsayCBS के 10.3.4 तक के संस्करण प्रभावित हैं और 7 अक्टूबर से हमले देखे गए। Ahsay ने अब कहा है कि पुराने 10.3.4.0 और 9.15.2.59 सुधार दोनों खामियों को पूरी तरह ठीक नहीं करते थे। वह v10 भागीदारों को 10.3.4.45 और v7–v9 भागीदारों को 9.15.2.70 हॉटफिक्स लगाकर रीबूट करने का निर्देश देता है। भागीदारों तक सीमित हॉटफिक्स विवरण की स्वतंत्र समीक्षा नहीं हुई है; स्थापित बिल्ड की पुष्टि करें और Ahsay के वर्तमान निर्देश मानें।[1], [8], [3], [4]

💡 आसान भाषा में (ELI5)

कल्पना करें कि कोई व्यक्ति बैकअप कंट्रोल रूम की पहचान-जाँच पार करके ऑपरेटर को एक पर्ची देता है। रिसीवर endpoint ने हमलावर के नियंत्रण वाले input को operating-system command का हिस्सा माना, इसलिए पर्ची को data के बजाय instruction समझा जा सकता था। यह उपमा Huntress द्वारा बताई गई श्रृंखला समझाती है; Ahsay का सटीक implementation सार्वजनिक नहीं है।[1], [3], [4]

इस पेज के मुख्य शब्द

CVE-2026-105133
AhsayCBS के checkSysPwd फ़ंक्शन में रिपोर्ट की गई मध्यम गंभीरता की प्रमाणीकरण कमजोरी। Huntress इसे देखी गई श्रृंखला का पहला चरण बताता है।[3], [1]
CVE-2026-105134
/rps/api/json/UpdateReceivers.do पर Replication Receiver API में रिपोर्ट किया गया गंभीर OS कमांड इंजेक्शन, CVSS 10.0। Huntress के अनुसार प्रमाणीकरण बायपास के बाद इससे कोड चलाया गया। 10.0 स्कोर केवल इसी CVE पर लागू है।[4], [1]
12 अक्टूबर 2026 तक की पैच स्थिति
CVE रिकॉर्ड में शुरू में 10.3.4 को ठीक बताया गया था, लेकिन Huntress ने बाद में 10.3.4 तक के संस्करणों को प्रभावित पाया। Ahsay की 10 और 12 अक्टूबर की घोषणाएँ 9 अक्टूबर की स्थिति को बदलती हैं: पुराने 10.3.4.0 और 9.15.2.59 सुधार दोनों खामियों को पूरी तरह ठीक नहीं करते थे। Ahsay v10 भागीदारों को 10.3.4.45 और v7–v9 भागीदारों को 9.15.2.70 लगाने और फिर रीबूट करने को कहता है। ये विक्रेता के निर्देश हैं; भागीदारों के लिए उपलब्ध हॉटफिक्स की सामग्री और प्रभावशीलता की स्वतंत्र समीक्षा नहीं हुई है।[1], [8], [3], [4]

फ्रेमवर्क मैपिंग

  • इस गाइड में बताई गई कमजोरी के लिए CWE संदर्भ: CWE-78 CWE-287

संस्करण स्थिति और सुरक्षा कार्रवाई

साक्ष्य स्रोतउसमें क्या कहा गया हैऑपरेटर का निर्णय
CVE रिकॉर्ड (4 अक्टूबर)शुरू में दोनों CVE के लिए 10.3.4 को fixed बताया गया।इसे विवादित जानकारी मानें; remediation बंद करने से पहले Ahsay से सीधे fix की पुष्टि करें।
Huntress (8 अक्टूबर)हमलों की सूचना देता है और कहता है कि 10.3.4 तक के संस्करण भी प्रभावित थे।10.3.4 तक के सिस्टम को संभावित रूप से प्रभावित मानें; management access सीमित करें और जाँच करें।
Ahsay v10.3.4 release notes (5 अगस्त)इनमें किसी CVE या इन flaws के security fix का उल्लेख नहीं है।केवल release notes के आधार पर यह न मानें कि 10.3.4 ने इन CVE को ठीक किया।
Ahsay v10.3.2 रिलीज़ नोट्स (20 जुलाई)इनमें सामान्य “Ahsay Security Patchset - 2026/Q3” सूचीबद्ध है, लेकिन इन CVE या ठीक किए गए संस्करण की पहचान नहीं की गई है।सामान्य patchset नाम को इन CVE के ठीक होने का प्रमाण न मानें। बाद में Huntress ने बताया कि v10.3.4 भी प्रभावित था।
किसी भी संस्करण पर संभावित compromiseVersion number पहले हुए शोषण या persistence को खारिज नहीं करता।Host की जाँच करें, साक्ष्य सुरक्षित रखें, backup integrity जाँचें और विश्वसनीय recovery प्रक्रिया अपनाएँ।
Ahsay घोषणाएँ (10 और 12 अक्टूबर)पुराने 10.3.4.0 और 9.15.2.59 सुधार दोनों खामियों को पूरी तरह ठीक नहीं करते थे। Ahsay v10 भागीदारों को 10.3.4.45 और v7–v9 भागीदारों को 9.15.2.70 लगाकर रीबूट करने को कहता है।अपने संस्करण के लिए विक्रेता के निर्देश मानें, रीबूट करें और भागीदार चैनल से स्थापित बिल्ड की पुष्टि करें; हॉटफिक्स की स्वतंत्र जाँच नहीं हुई है।

घटना का समयक्रम (Timeline)

2026-10-04

AhsayCBS की दोनों कमजोरियों के CVE रिकॉर्ड प्रकाशित हुए और शुरू में 10.3.4 को ठीक किया हुआ बताया गया।[3], [4]

2026-10-07 23:20:15 UTC

Huntress ने इंटरनेट पर खुले सिस्टम के विरुद्ध कमजोरियों के दुरुपयोग को देखना शुरू किया।[1]

2026-10-08

Huntress ने पाँच संगठनों को निशाना बनाए जाने की सूचना दी और पिछला आकलन सुधारा: 10.3.4 भी प्रभावित है।[1]

2026-10-09

9 अक्टूबर को प्रकाशन के समय विक्रेता द्वारा पुष्टि किया गया कोई ठीक किया हुआ संस्करण नहीं बताया गया था。[5]

2026-10-10

Ahsay ने बताया कि v10.3.4.0 दोनों खामियों को पूरी तरह ठीक नहीं करता था और v10 भागीदारों को 10.3.4.45 हॉटफिक्स लेने को कहा।[8]

2026-10-12

Ahsay ने निर्देश अपडेट किए: v10 भागीदार 10.3.4.45 और v7–v9 भागीदार 9.15.2.70 लगाएँ। हॉटफिक्स के बाद रीबूट करें।[8]

हमले का चरण-दर-चरण प्रवाह

चरण 1

खुला प्रबंधन इंटरफ़ेस पहुँच योग्य है

Huntress के अनुसार देखी गई गतिविधि इंटरनेट से पहुँच योग्य AhsayCBS वेब इंटरफ़ेस को निशाना बना रही थी। इस उत्पाद का उपयोग managed service providers और system integrators करते हैं।[1]

चरण 2

प्रमाणीकरण सीमा को पार किया जाता है

Huntress पहला चरण CVE-2026-105133 और ApiStructsAction.java के checkSysPwd फ़ंक्शन से जोड़ता है। यह प्रतिक्रिया टीम का विवरण है; समीक्षा किए गए स्रोतों में विक्रेता का असुरक्षित स्रोत कोड उपलब्ध नहीं है।[1], [3]

चरण 3

Replication Receiver की कमजोरी से कोड चलता है

Huntress CVE-2026-105134 को /rps/api/json/UpdateReceivers.do में कमांड इंजेक्शन से जोड़ता है। रिपोर्ट के अनुसार हमलावरों ने receiver सेट किया और ऐप द्वारा परोसी जाने वाली डायरेक्टरी में JSP webshell रखे। यहाँ अनुरोध सिंटैक्स या payload नहीं दिया गया है।[1], [4]

चरण 4

होस्ट को संभावित रूप से समझौता किया हुआ मानें

प्रभावित मामलों में Huntress ने सेवा की child processes, webshell, छिपाए गए mining software और persistence देखी। प्रबंधन पहुँच सीमित करें, होस्ट और बैकअप की जाँच करें, और समझौता पुष्ट होने पर विश्वसनीय पुनर्निर्माण प्रक्रिया अपनाएँ।[1], [6]

सोर्स कोड: कमज़ोर बनाम सुरक्षित कार्यान्वयन

सुरक्षित उदाहरण एक निश्चित executable, स्पष्ट allowlist और अलग-अलग ProcessBuilder arguments का उपयोग करता है; यह shell नहीं चलाता और user input को command string में नहीं जोड़ता। यह operating-system command parsing boundary बंद करने का सामान्य defensive pattern है, Ahsay का source code या patch नहीं। देखे गए सार्वजनिक स्रोतों में vendor implementation या fix उपलब्ध नहीं है।[1], [3], [4]

कमज़ोर कार्यान्वयन
// यह केवल सामान्य anti-pattern उदाहरण है; Ahsay का source code नहीं।
void updateReceiver(Request request) {
    String receiver = request.parameter("receiver");
    String command = commandBuilder.forReceiverUpdate(receiver);
    operatingSystem.execute(command); // unsafe command-string boundary
}
सुरक्षित और सुदृढ़ फ़िक्स
// यह केवल सामान्य defensive design है; Ahsay patch नहीं।
private static final Set<String> ALLOWED_RECEIVERS = Set.of("primary", "archive");

void updateReceiver(Principal principal, ReceiverInput input) throws IOException {
    authorization.require(principal, Permission.MANAGE_RECEIVERS);
    String receiver = input.receiverId();
    if (!ALLOWED_RECEIVERS.contains(receiver)) {
        throw new IllegalArgumentException("Unsupported receiver");
    }
    new ProcessBuilder("/usr/local/bin/replication-tool", "update", "--receiver", receiver)
        .start(); // fixed executable; separate arguments; no shell
}

इंजीनियरिंग और सिस्टम सुरक्षा चेकलिस्ट

स्रोत