Устранённые уязвимости, декабрь 2025

Введение

В декабре 2025 года компания Positive Technologies провела независимое тестирование информационной безопасности Comindware Platform и выявила две критические уязвимости.

Comindware подтвердила их наличие, подготовила исправления и выпустила обновления.

Здесь представлено краткое описание сути уязвимостей, их статус и рекомендации по обновлению.

Уязвимость, связанная с чтением файлов

В определённых сценариях при обработке запросов в Comindware Platform могли некорректно обрабатываться входные данные, что теоретически позволяло без аутентификации получить доступ к содержимому отдельных ресурсов в файловой системе сервера в пределах прав учётной записи, от имени которой выполняется Comindware Platform.

Статус: уязвимость устранена.

Меры по устранению: Comindware усилила проверки входных данных, ограничила доступ к файловым путям и расширила внутренние проверки для предотвращения аналогичных сценариев.

Уязвимость, связанная с загрузкой файлов

В некоторых сценариях при загрузке файлов в Comindware Platform могли некорректно обрабатываться параметры, что при определённых условиях теоретически позволяло авторизованному пользователю разместить на сервере файл вне предусмотренного сценария использования и потенциально могло привести к выполнению нежелательного кода на стороне сервера.

Статус: уязвимость устранена.

Меры по устранению: Comindware ужесточила проверки имён и путей сохранения файлов, ограничила допустимые типы и области хранения и исключила сценарии размещения загружаемых файлов в зонах, пригодных для исполнения кода.

Затронутые версии и актуальное состояние

Positive Technologies зафиксировала указанные уязвимости в экземплярах Comindware Platform версий 3.5 и 4.2, использованных в ходе исследования. Данные версии Comindware Platform являются устаревшими. Текущая актуальная версия — Comindware Platform 5.0 от 31.12.2025 и новее.

Comindware включила исправления в состав указанных версий ПО Comindware Platform, выпустив новые сборки Comindware Platform указанных версий, а также — в актуальную версия 5.0 от 31.12.2025.

Рекомендации

Если вы используете Comindware Platform версии, выпущенной до 31.12.2025, или устаревшие версии Comindware Platform, указанные выше, особенно при размещении системы в сетевых контурах с внешним доступом, Comindware настоятельно рекомендует обновить ПО до последней актуальной версии 5.0 от 31.12.2025 или новее в соответствии с вашей внутренней процедурой управления изменениями и действующей базовой поддержкой в отношении Comindware Platform.

По вопросам получения дистрибутивов и порядка обновления обращайтесь в службу поддержки.