Octopus Deploy разкри уязвимост с висока степен на опасност в Octopus Server, която би могла да позволи на автентикирани потребители да изпълняват произволен код върху засегнатите сървъри чрез небезопасна JSON десериализация.

Проследявана като CVE-2026-101169, уязвимостта засяга внедрявания на Octopus Server върху Linux и Microsoft Windows. Компанията публикува Бюлетин за сигурност 2026-10 на 29 септември 2026 г. и призова клиентите да актуализират незабавно, тъй като няма налични мерки за ограничаване на риска.

Проблемът е открит по време на вътрешно тестване от Нейтън Уилоуби от Octopus Deploy. Той е идентифициран на 4 септември 2026 г., а корекциите за сигурност са пуснати на 14 септември 2026 г.

Уязвимостта съществува в начина, по който Octopus Server обработва JSON съдържание, свързано с обектите Environment и Project. Автентикиран потребител с разрешение да редактира някой от тези обекти може да изпрати специално форматирани JSON данни.

Когато Octopus Server десериализира това контролирано от атакуващия съдържание, проблемът с небезопасната десериализация може да бъде злоупотребен за изпълнение на произволен код в рамките на процеса на Octopus Server.

Това означава, че атакуващият трябва вече да има валиден достъп до инстанцията на Octopus Server и достатъчно привилегии, за да модифицира Environment или Project.

Недостатък в Octopus Server

Въпреки това, въздействието все още може да бъде значително в корпоративни среди за внедряване, където Octopus Server може да има достъп до идентификационни данни за внедряване, работни процеси за автоматизация, целеви инфраструктури и чувствителни данни за конфигурация на приложения.

Успешното експлоатиране би могло да даде възможност на злонамерен вътрешен човек, компрометиран администраторски акаунт или атакуващ с делегирани права върху проекти да изпълнява код в контекста за сигурност на процеса на Octopus Server.

Крайното въздействие зависи от привилегиите, съответстващи на този процес, и достъпа на сървъра до свързаната инфраструктура за внедряване. Уязвимостта засяга всички издания на Octopus Server 2019.4.x, всички издания от 2020.x до 2025.x, както и няколко функционални клона от 2026 г.

Засегнатите издания включват версии 2026.1.x, по-стари от 2026.1.11781, версии 2026.2.x, по-стари от 2026.2.13441, версии 2026.3.x, по-стари от 2026.3.15829, и версии 2026.4.x, по-стари от 2026.4.1619.

От Octopus Deploy заявиха, че клиентите, работещи с Octopus Server версия 2026.3.15829 или по-нова, не са засегнати. Най-новата препоръчителна версия е 2026.3.15863.

Серията от издания 2026.4.x беше достъпна само за Octopus Cloud, когато беше издадена корекцията. Клиентите на Octopus Cloud не трябва да предприемат действия, тъй като компанията вече е актуализирала всички облачни инстанции до коригираните версии.

Организациите трябва да обновят Octopus Server до най-новата налична версия възможно най-скоро. Клиентите, които не могат да преминат към най-новата версия, трябва да инсталират коригирано издание, подходящо за техния функционален клон.

За по-стари версии от 2019.4.x до 2025.x, Octopus Deploy препоръчва обновяване до версия 2026.1.11781 или по-нова. Клиентите, използващи клона 2026.2, трябва да инсталират версия 2026.2.13441 или по-нова, докато потребителите на 2026.3 трябва да актуализират до версия 2026.3.15829 или по-нова.

Octopus Deploy е определила висока оценка за сериозност на уязвимостта. Компанията съобщи, че към момента на разкриването не са известни случаи на публично експлоатиране или злонамерена употреба на CVE-2026-101169.