Компания BI.ZONE обнаружила уязвимости высокого уровня опасности в Vaultwarden
Им присвоены идентификаторы CVE.
Vaultwarden — это хранилище секретов с открытым исходным кодом. Оно бесплатное, а его API совместим c менеджером паролей Bitwarden. Благодаря этому популярность Vaultwarden растет. По данным BI.ZONE TDR, в 2025 году решение использует каждая 10-я российская компания.
Как и любое хранилище секретов, Vaultwarden — критически важный сервис, требующий повышенного внимания команд безопасности. Его компрометация влечет за собой множество рисков, в том числе раскрытие конфиденциальных данных компании.
Поэтому группа исследования уязвимостей BI.ZONE проанализировала Vaultwarden. В результате специалисты обнаружили уязвимости высокого уровня опасности, которым были присвоены идентификаторы CVE (CVE-2025-24364, CVE-2025-24365). Они затрагивают версии софта до 1.32.7 и исправлены в версии 1.33.0.
Уязвимость CVE-2025-24365 связана с механизмом проверки прав. К примеру, злоумышленник состоит в организации А, но у него ограниченные права. Он создает организацию Б, где по умолчанию становится администратором. Затем он отправляет запрос на эндпоинты, при этом указывая в пути идентификатор организации A, а в GET-параметре — идентификатор организации Б. В результате злоумышленник получает права администратора в организации А.
CVE-2025-24364 относится к RCE-уязвимостям и позволяет реализовать удаленное выполнение кода. Если у атакующего есть доступ к панели администратора, он запускает произвольные команды на сервере. Таким образом он узнаёт секреты всех организаций внутри хранилища. В результате атакующий может перехватить управление системой или ее отдельными компонентами, а также украсть конфиденциальные данные.
Павел Блинников, руководитель группы исследования уязвимостей, BI.ZONE, говорит:
«Поскольку секреты других внутренних сервисов хранятся в Vaultwarden, при его взломе атакующий узнает и их. А если продукт автоматически получает секреты с помощью API, злоумышленник попадает на хост с обширной сетевой связностью. Чтобы снизить поверхность атаки и предотвратить компрометацию хранилища секретов, мы рекомендуем отключать функциональность, которую вы не используете, а также обновить софт до последней версии».
Защититься от атак с эксплуатацией найденных CVE поможет BI.ZONE WAF. Созданные правила сервиса детектируют и блокируют попытки атак, не нарушая логику. Помимо этого, эксплуатация описанных уязвимостей детектируется BI.ZONE EDR.
О компании
BI.ZONE — компания по управлению цифровыми рисками, она помогает организациям безопасно развивать бизнес в киберпространстве. BI.ZONE разрабатывает собственные продукты для обеспечения устойчивости IT‑инфраструктур любого размера и оказывает широкий спектр услуг по киберзащите: от расследования инцидентов и мониторинга угроз до создания стратегий по кибербезопасности и комплексного аутсорсинга профильных функций. С 2016 года компания реализовала более 1600 проектов в сферах финансов, телекоммуникаций, энергетики, авиации и многих других, защитив свыше 800 клиентов.