Šta se desilo?

Objavljen je CVE-2026-108598 za izvršavanje komandi kroz Velocity Template Language šablone u Floci komponenti VtlTemplateEngine. Napadaču nije potrebna autentifikacija, ali mora imati mrežni pristup Floci servisu.

Koga pogađa?

Prema VulnCheck zapisu, pogođene su verzije od 1.1.0 uključujući do 2.2.0 isključujući. Rizik treba proveriti i u razvojnim i testnim okruženjima. Ovo je propust Floci implementacije, a ne potvrđena ranjivost Amazonove usluge API Gateway.

Kako se zaštititi?

  • Ažurirajte Floci na 2.2.0 ili noviju ispravljenu verziju.
  • Ograničite pristup Floci portu na potrebne lokalne ili pouzdane sisteme; ne izlažite servis javno bez odgovarajućih kontrola.
  • Pregledajte neuobičajene API konfiguracije i pokretanje procesa pod nalogom Floci servisa.
  • Ako sumnjate na kompromitaciju, proverite izložene tajne i povezane sisteme; sama nadogradnja ne uklanja posledice prethodnog napada.

Tehnički detalji

Neograničena refleksija u VTL šablonima omogućava pristup Java klasama za izvršavanje komandi u okviru Floci JVM procesa. VulnCheck navodi CVSS 4.0 ocenu 9.3. Javni dokaz koncepta potvrđuje mogućnost iskorišćavanja, ali nije dokaz aktivnih napada.

Stariji GitHub savet opisuje verziju 1.5.28 i u polju za zakrpu još navodi da je nema. Novije izdanje 2.2.0 dokumentuje ograničavanje VTL obrade pomoću SecureUberspector-a i ograničenja izvršavanja, dok noviji CVE zapis navodi granicu pogođenih verzija ispod 2.2.0.

Zašto je važno?

Izvršavanje komandi sa ovlašćenjima servisnog naloga može ugroziti podatke i tajne dostupne tom procesu. Opseg posledica zavisi od izolacije okruženja i dodeljenih ovlašćenja.

Preporuka Sajber Radara

Proverite i verziju i mrežnu izloženost. Dajte prednost nadogradnji i ograničavanju pristupa samom Floci servisu; zaštita samo jedne postojeće MOCK integracije nije dovoljna.