IBM Aspera Faspex: chyba v autorizaci dává uživateli práva správce a už se zneužívá

Co se stalo

IBM Aspera Faspex je serverová aplikace pro rychlé posílání velkých souborů. Firmy, média, výzkumné instituce nebo úřady přes ni vyměňují data s partnery a zákazníky: videa, zálohy, technickou dokumentaci, smlouvy. Server obvykle bývá dostupný z internetu, protože se k němu připojují i lidé zvenku.

IBM 7. listopadu 2026 zveřejnil bezpečnostní bulletin k chybě CVE-2026-123218 ve Faspexu 5. Přihlášený uživatel může poslat upravenou zprávu, obejít kontrolu oprávnění a získat plná práva správce. Opravu obsahuje verze 5.0.19 PL1. O zneužití bulletin nepíše.

Americká agentura CISA chybu 9. listopadu 2026 zařadila do katalogu prokazatelně zneužívaných zranitelností (KEV). Federálním úřadům dala na nápravu čas jen do 12. listopadu 2026, tedy tři dny. Běžný termín bývá tři týdny, takže CISA hrozbu považuje za naléhavou. Kdo chybu zneužívá a proti komu, zatím nezveřejnila CISA, IBM ani žádný výzkumný tým.

Jak vážné to je

V hodnocení je rozpor: text bulletinu, NVD i CISA mluví o přihlášeném uživateli, vektor ale uvádí PR:N (bez oprávnění). S PR:L by skóre bylo 8,8 – přepočítat si ho můžete v naší kalkulačce CVSS. Na naléhavosti to nic nemění: chyba se zneužívá a účet na Faspexu mají často i lidé mimo vaši organizaci.

Technické podrobnosti

Podle IBM jde o chybu v ověřování oprávnění (CWE-863, Incorrect Authorization). Uživatel s platným účtem sestaví „specifickou zprávu“, kterou aplikace zpracuje bez správné kontroly, a tím si přidělí práva správce. Jakou část aplikace nebo rozhraní chyba zasahuje, IBM nezveřejnil a technický rozbor zatím nevyšel. Návod ke zneužití tu z principu neuvádíme.

Proč na tom záleží: správce Faspexu spravuje uživatele, skupiny a nastavení úložiště a má přístup k zásilkám. Útočník s takovými právy může číst nebo stahovat soubory jiných uživatelů, zakládat si vlastní účty a měnit nastavení. Systémy pro přenos souborů už v minulosti byly cílem hromadných krádeží dat. Samotný Faspex byl zneužívaný už v roce 2023 přes chybu CVE-2022-47986 ve verzích 4.x (CISA ji zařadila do KEV 21. 2. 2023).

Koho se to týká

Podle bulletinu IBM je zranitelný IBM Aspera Faspex 5.0.0 až 5.0.19 (Linux, kontejnerové nasazení). Bez ohledu na to, kolik máte uživatelů, platí: zranitelná je každá instalace s verzí do 5.0.19 bez PL1.

Metadata bulletinu zmiňují i další produkty Aspera (např. Faspex On Demand), v tabulce dotčených verzí ale je jen Faspex 5. Pokud používáte cloudovou službu Aspera, ověřte stav u IBM.

Jak poznat napadení

IBM ani CISA indikátory napadení nezveřejnily. Dokud nevyjde rozbor, doporučujeme my v Kyberkitu zkontrolovat hlavně:

• seznam správců ve Faspexu – nové účty se správcovskými právy nebo běžné účty, které je nově získaly,
• nové uživatelské účty a pozvánky, které nikdo z vás nezakládal,
• neobvyklé stahování – velký objem zásilek stažený jedním účtem, přístupy k zásilkám, kterých účet nebyl příjemcem,
• změny nastavení úložiště, ověřování a notifikací,
• přihlášení z neznámých adres, hlavně u účtů externích partnerů.

Podezřelé IP adresy a domény z exportu logů si vytáhnete do přehledného seznamu v našem extraktoru IOC, který běží jen ve vašem prohlížeči.

Co udělat

1. Aktualizujte na Faspex 5.0.19 PL1 hned. IBM dočasné obejití neuvádí.
2. Ověřte verzi: obraz faspex-core má po aktualizaci mít verzi 5.0.19 (1ce4b13, Fix Pack 1).
3. Než aktualizaci nasadíte, zvažte omezení přístupu k serveru jen na známé adresy partnerů nebo přes VPN a dočasné zablokování nepotřebných účtů.
4. Projděte účty a logy podle předchozí části. Pokud najdete nového správce, berte to jako incident: zjistěte, k jakým souborům měl přístup, a změňte hesla a klíče uložené v nastavení.
5. Pokud ještě provozujete Faspex 4, přejděte na podporovanou řadu 5 – starší verze mají zneužívanou chybu CVE-2022-47986.
6. Hlaste incidenty. Organizace, na které se vztahuje zákon o kybernetické bezpečnosti, postupují podle svých povinností. Na Slovensku přijímá hlášení SK-CERT přes formulář na sk-cert.sk.

Časová osa

Aktualizace

• 11. 11. 2026 – první verze článku.