Платформу ServiceNow AI атакують через критичну вразливість
Хакери використовують критичну помилку в платформі ServiceNow AI Platform, яка впливає на робочі процеси великих компаній. Користувачам самостійно розміщених інстанцій рекомендується негайно вжити заходів.
Ключові моменти
- Зловмисники почали експлуатувати критичну вразливість платформи ServiceNow AI Platform CVE-2026-6875 в активних атаках, розпочатих у п'ятницю, 21 липня 2023 року.
- ServiceNow обробляє понад 100 мільярдів робочих процесів на рік і використовується 85% компаній із списку Fortune 500.
- ServiceNow випустила патчі безпеки 13 липня 2023 року, але експлуатація розпочалася тиждень пізніше.
- Компанія Defused, фірма з розвідки загроз, підтвердила атаки, які спочатку повідомила ThreatVectr.
Критична вразливість безпеки в платформі ServiceNow AI Platform, раніше відома як Now Platform, активно експлуатується кіберзлочинцями. Ця вразливість, відслідковувана як CVE-2026-6875, дозволяє зловмисникам обійти автентифікацію та виконати власний код на сервері. Простіше кажучи, зловмисники можуть проникнути в систему без потреби у імені користувача або паролі, потенційно контролюючи конфіденційні дані, збережені всередині.
Про цю проблему спочатку повідомила ThreatVectr, розкриваючи, що зловмисники почали атакувати вразливість у п'ятницю, 21 липня 2023 року. Ця новина виходить після випуску ServiceNow патчів безпеки 13 липня, які мали усунути вразливість. Компанія радить будь-яким клієнтам, які використовують самостійно розміщені інстанції, негайно застосувати ці оновлення.
Компанія розвідки загроз Defused помітила ці атаки в реальних умовах, підтвердивши, що вони відповідають раніше виявленому розриву безпеки в платформі. Ця вразливість була спочатку виявлена компанією Searchlight Cyber, яка повідомила про неї ServiceNow 1 квітня. Вразливість дозволяє зловмисникам експлуатувати певну веб-адресу /assessment_thanks.do, яка не повинна приймати зовнішні команди.
ServiceNow описує атаку як складну, що потребує навичок для виконання. Однак це не стримало зловмисників від спроб та успіху. Незважаючи на цю активність, публічний консультативний документ ServiceNow на даний момент стверджує, що вони не знають про будь-яку активну експлуатацію проти своїх інстанцій, заява, яка ще має бути оновлена з останніми висновками.
Що повинні робити компанії, які використовують ServiceNow?
Якщо ви керуєте самостійно розміщеною інстанцією ServiceNow, негайно застосуйте патчи безпеки, випущені 13 липня. Перевірте журнали вашого сервера на предмет незвичайних спроб доступу до /assessment_thanks.do, особливо з 21 липня далі. Якщо ви виявите будь-який несанкціонований доступ, розгляньте можливість переобладнання будь-яких облікових даних або токенів API, які могли бути розкриті. Для тих, хто використовує розміщені сервіси ServiceNow, підтвердіть з вашим представником акаунту, що патч був застосований, і запросіть письмове підтвердження дати його впровадження.
ServiceNow є значним гравцем в корпоративному програмному забезпеченні, його платформа обробляє понад 100 мільярдів робочих процесів щорічно у 85% компаній зі списку Fortune 500. Безпека записів HR, IT квитків, деталей закупівель та журналів обслуговування клієнтів, серед іншої конфіденційної інформації, багато в чому залежить від збереження цілісності цих систем.
Невідкладність до дії не можна перебільшувати. Компанії повинні гарантувати, що вони захищені від цієї вразливості, щоб зберегти свої операції та дані.
