Хакеры сканируют TeleMessage Signal на наличие уязвимости, раскрывающей пароли

[admin]

Исследователи зафиксировали попытки эксплуатации уязвимости CVE-2025-48927 в приложении TeleMessage SGNL, которая позволяет получить имена пользователей, пароли и другие конфиденциальные данные.


TeleMessage SGNL — это клон приложения Signal, теперь принадлежащий компании Smarsh, ориентированной на соответствие требованиям, которая предоставляет облачные или локальные коммуникационные решения различным организациям.

Сканирование на наличие уязвимых конечных точек​

Компания GreyNoise, занимающаяся мониторингом угроз, зафиксировала многочисленные попытки эксплуатации уязвимости CVE-2025-48927, вероятно, со стороны разных злоумышленников.

«По состоянию на 16 июля GreyNoise зафиксировал 11 попыток эксплуатации уязвимости CVE-2025-48927 с IP-адресов», — сообщает GreyNoise .


«Связанные с этим разведывательные действия продолжаются. Наша телеметрия показывает активное сканирование конечных точек Spring Boot Actuator, что может быть предвестником выявления систем, затронутых CVE-2025-48927».

По данным GreyNoise, за последние месяцы более двух тысяч IP-адресов были просканированы на предмет наличия конечных точек Sprint Boot Actuator, причем чуть более 75% из них были нацелены именно на конечные точки «/health».


Уязвимость CVE-2025-48927 вызвана раскрытием конечной точки '/heapdump' из Spring Boot Actuator без аутентификации. TeleMessage исправил проблему, но некоторые локальные установки всё ещё уязвимы.


При использовании устаревших конфигураций Spring Boot, которые не ограничивают доступ к конечным точкам диагностики, уязвимость позволяет злоумышленнику загрузить полный дамп памяти кучи Java размером приблизительно 150 МБ, который может содержать имена пользователей в текстовом формате, пароли, токены и другие конфиденциальные данные.


Для защиты от этих атак рекомендуется отключить или ограничить доступ к конечной точке /heapdump только для доверенных диапазонов IP-адресов и максимально ограничить воздействие всех конечных точек Actuator.

Архивирование сигнальных сообщений​

Приложение TeleMessage SGNL предназначено для обеспечения зашифрованной связи со встроенным архивированием , благодаря чему все чаты, звонки и вложения автоматически сохраняются для соблюдения требований, аудита или ведения учета.


Эти утверждения были оспорены предыдущими исследованиями, утверждавшими, что сквозное шифрование не поддерживается, а конфиденциальные данные, включая сообщения, хранятся в открытом виде.

Это было раскрыто в мае 2025 года , когда хакер получил доступ к диагностической конечной точке и загрузил учётные данные и архивный контент. Это событие вызвало опасения по поводу национальной безопасности в США после того, как стало известно, что продукт использовался таможенно-пограничной службой и должностными лицами, включая Майка Уолца.

Уязвимость CVE-2025-48927 была раскрыта в мае, а 1 июля CISA добавила ее в каталог известных эксплуатируемых уязвимостей (KEV), потребовав от всех федеральных агентств принятия мер по ее устранению до 22 июля.

Агентство также перечислило уязвимость CVE-2025-48928 в SGNL, при которой приложение JSP предоставляет неавторизованным пользователям дамп памяти, содержащий пароли, отправленные по протоколу HTTP.

[Обновление 19 июля 3:45 утра по восточному времени] - Представитель Smarsh отправил BleepingComputer следующий комментарий:

«CVE-2025-48927 была полностью устранена в среде TeleMessage в начале мая. Это устранение было независимо подтверждено нашим сторонним партнёром по кибербезопасности. Поскольку это облачная SaaS-платформа, все исправления были применены централизованно, и никаких действий со стороны клиентов не требовалось. Таким образом, любые попытки эксплуатировать CVE-2025-48927 с тех пор не увенчались успехом», — заявил представитель Smarsh.