Luka w popularnym serwerze pocztowym SOGo otrzymała ocenę 8.6 w skali CVSS (Common Vulnerability Scoring System) 4.0 [^1]. Identyfikator podatności to CVE-2026-8851 (Common Vulnerabilities and Exposures, identyfikator publicznie znanej luki). Problem dotyczy wszystkich wersji oprogramowania do numeru 5.12.7 włącznie [^2]. Umożliwia uwierzytelnionemu użytkownikowi odczyt dowolnych danych z bazy, co stwarza wysokie ryzyko dla poufności i integralności informacji [^3] [^4].

Na ten moment nie ma informacji o aktywnym wykorzystaniu luki w atakach [^5]. Brak również oficjalnej poprawki od producenta [^6]. Administratorzy systemów SOGo powinni podjąć natychmiastowe działania mitygujące ryzyko.

TL;DR

  • Produkt: SOGo, serwer pocztowy i groupware.
  • Luka: CVE-2026-8851, SQL Injection (atak polegający na wstrzyknięciu złośliwego kodu SQL do zapytań bazodanowych), sklasyfikowany jako CWE-89 [^7].
  • Wektor: Uwierzytelniony użytkownik wysyła spreparowane zapytanie do punktu końcowego addUserInAcls [^8].
  • Skutek: Zdalna ekstrakcja dowolnych danych z bazy danych serwera [^9].
  • Dotyczy: Wersje SOGo 5.12.7 i wszystkie wcześniejsze [^2].
  • Reagowanie (natychmiastowe): Ograniczenie dostępu do endpointu addUserInAcls [^10]. Monitorowanie logów API (Application Programming Interface) pod kątem nietypowych wartości w parametrze uid [^11].

Wektor ataku

Podatność to klasyczny przypadek SQL Injection. Znajduje się w module odpowiedzialnym za zarządzanie listami kontroli dostępu (ACL, Access Control List) [^12] [^13]. Atakujący musi posiadać ważne, uwierzytelnione konto w docelowej instancji SOGo, aby móc wykorzystać tę lukę [^9]. Nie jest wymagana żadna dodatkowa interakcja ze strony innych użytkowników, a złożoność samego ataku oceniono jako niską [^3].

Technicznie, atak polega na wstrzyknięciu złośliwego podzapytania SQL poprzez parametr uid w punkcie końcowym API addUserInAcls [^8] [^14]. Aplikacja nieprawidłowo neutralizuje dane wejściowe od użytkownika, co pozwala na dołączenie do oryginalnego zapytania dodatkowych komend.

Mechanizm eksfiltracji danych jest dwuetapowy. Atakujący nie otrzymuje danych bezpośrednio w odpowiedzi na złośliwe zapytanie. Zamiast tego:

  1. Wstrzykuje kod SQL, który powoduje zapisanie wykradzionych danych (np. treści e-maili, haseł użytkowników, kluczy) do tabeli sogo_acl w bazie danych [^15] [^16].
  2. Następnie, używając standardowej i legalnej funkcji API, odczytuje zawartość tej tabeli poprzez punkt końcowy /acls [^17].

Taka technika tworzy kanał eksfiltracji danych typu out-of-band, który może być trudniejszy do wykrycia przez proste systemy monitorujące [^18].

Analiza wektora wskazuje na wysoki wpływ na poufność i integralność danych [^3]. Nie stwierdzono natomiast, aby luka umożliwiała eskalację uprawnień lub wpływała na dostępność usługi (np. poprzez atak typu DDoS) [^19].

Wskaźniki kompromitacji

Na ten moment nie są znane publiczne wskaźniki kompromitacji (IoC, Indicators of Compromise) takie jak hashe plików czy adresy IP serwerów C2 (Command and Control). Atak nie wymaga instalacji dodatkowego oprogramowania na serwerze. Detekcja musi opierać się na analizie logów serwera aplikacyjnego i webowego.

Zespoły SOC (Security Operations Center) powinny skupić się na monitorowaniu zapytań HTTP POST kierowanych do API SOGo, w szczególności do punktu końcowego zawierającego ścieżkę .../acls/addUserInAcls.

Należy szukać nietypowych, długich lub zawierających znaki specjalne SQL wartości w parametrze uid. Każde użycie tego punktu końcowego przez użytkowników niebędących administratorami powinno być traktowane jako wysoce podejrzane i wymagać weryfikacji.

“

Co zrobić w 24-48h

Brak oficjalnej łatki od producenta SOGo oznacza, że wszystkie podatne instancje są narażone na atak [^6]. Konieczne jest podjęcie działań mitygujących.

  1. Ograniczenie dostępu do podatnego endpointu. Rekomendowanym podejściem jest natychmiastowe zablokowanie lub ograniczenie dostępu do punktu końcowego addUserInAcls [^10]. Dostęp powinni mieć wyłącznie zaufani administratorzy. Można to zrealizować poprzez odpowiednie reguły na poziomie serwera proxy, load balancera lub WAF (Web Application Firewall).

  2. Wdrożenie monitoringu. Należy wdrożyć dodatkowe monitorowanie lub filtrowanie na poziomie aplikacji w celu wykrywania anomalii w użyciu parametru uid [^11]. Zespoły bezpieczeństwa w polskich firmach powinny sprawdzić możliwości swoich systemów SIEM (Security Information and Event Management) w tym zakresie i stworzyć odpowiednie reguły alertujące.

  3. Śledzenie komunikatów producenta. Konieczne jest aktywne śledzenie oficjalnych kanałów komunikacji SOGo i wdrożenie łatki bezpieczeństwa, gdy tylko zostanie opublikowana [^20].

Dla polskich organizacji, zwłaszcza z sektora publicznego i edukacyjnego, gdzie SOGo bywa wykorzystywane, incydent wycieku danych z bazy pocztowej może podlegać obowiązkowi zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych (UODO) w ramach RODO (Rozporządzenie o Ochronie Danych Osobowych). Czas na zgłoszenie naruszenia ochrony danych osobowych to 72 godziny od jego wykrycia.

“

Zobacz też