Старший специалист PT ESC Максим Суслов обнаружил четыре уязвимости в почтовом сервере CommuniGate Pro. Производитель был уведомлен в рамках политики ответственного раскрытия информации и уже выпустил обновления, устраняющие выявленные недостатки. Потенциальная эксплуатация этих уязвимостей могла привести к несанкционированному доступу к конфиденциальной информации и нарушению работы корпоративных систем.
CommuniGate Pro — отечественная платформа для корпоративных коммуникаций, включающая серверные и клиентские компоненты, обеспечивающие защищённую почту, мессенджер, видеосвязь, контакт-центры и интеграцию с популярными почтовыми клиентами, такими как Microsoft Outlook и Thunderbird. Развивается компанией «СБК» с 2023 года. Решением пользуются крупные государственные организации, корпорации и телеком-операторы; сервер развернут в 53 странах и обслуживает более 135 млн учетных записей.
Уязвимости обнаружены в версии 6.5.1 и более ранних версиях предыдущего правообладателя. Для устранения проблем пользователям рекомендуется обновить ПО до версии не ниже 6.5.1hotfix1, доступной на официальном сайте www.communigatepro.ru
. При невозможности обновления следует ограничить доступ к серверу из недоверенных сетей.
«До исправления эти уязвимости могли позволить злоумышленникам получить полный контроль над сервером, отправлять фишинговые письма от имени других пользователей и получить доступ к корпоративной информации», — отметил Максим Суслов, старший специалист PT ESC.
По словам Александра Буравцова, директора по информационной безопасности CommuniGate Pro, обнаруженные дефекты касались устаревших модулей, разработанных более пяти лет назад предыдущей командой. Все уязвимости были исправлены в среднем за две недели после их выявления. «Мы усиливаем процессы безопасной разработки и привлекаем экспертов для повышения доверия к продукту», — добавил он.
Среди выявленных недостатков:
- PT-2025-21649 (BDU:2025-02495) — критически высокая опасность (9,3 CVSS 4.0), потенциальное выполнение вредоносного кода и полный контроль над сервером.
- PT-2025-20235 (BDU:2025-01798) и PT-2025-30037 (BDU:2025-08669) — высокая опасность (8,7 CVSS 4.0), SSRF-уязвимости, позволяющие подделывать внутренние запросы и рассылать письма от имени любого пользователя.
- PT-2025-20237 (BDU:2025-01820) — средняя степень риска (6,9 CVSS 4.0), теоретическая возможность доступа к файлам на сервере, включая личные письма.
Positive Technologies регулярно сотрудничает с отечественными производителями систем видеоконференцсвязи для повышения безопасности их решений. В 2025 году специалисты компании участвовали в устранении дефектов в Яндекс Телемост, VINTEO и TrueConf Server.
Для комплексной защиты от подобных уязвимостей рекомендуется использовать продукты класса EDR (например, MaxPatrol EDR) для блокировки подозрительных действий на конечных устройствах, MaxPatrol VM для обнаружения недостатков в инфраструктуре, решения классов NTA/NDR (например, PT Network Attack Discovery) для детектирования попыток эксплуатации, межсетевые экраны PT NGFW и веб-фаерволы PT Application Firewall или облачную версию PT Cloud Application Firewall. Дополнительно можно применять системы для автоматизации контроля киберустойчивости (MaxPatrol Carbon).
Актуальные сведения об уязвимостях и рекомендациях производителей публикуются на портале dbugs, где аккумулируются данные по ПО и оборудованию со всего мира.
