Lỗi phân quyền trong Sage AR Automation cho phép tạo tài khoản quản trị

Cash Collect có lỗ hổng phân quyền không phù hợp trong Sage AR Automation API. Các chức năng quản trị không kiểm tra đúng đặc quyền của người dùng, cho phép người dùng có quyền thấp đã xác thực tạo tài khoản quản trị viên và giành được đặc quyền cao hơn.

• Sage AR Automation, thành phần Cash Collect: các phiên bản nhỏ hơn June-R1-2026 được đánh dấu là bị ảnh hưởng.
• Dữ liệu phiên bản sử dụng kiểu tùy chỉnh và đặt trạng thái mặc định là không bị ảnh hưởng ngoài phạm vi nêu trên.
• June-R1-2026 là ranh giới không bị đánh dấu trong dữ liệu bị ảnh hưởng. Bản ghi không liệt kê riêng mọi nhánh song song hoặc các bản phát hành sau đó, vì vậy không nên suy luận trạng thái của những nhánh chưa được xác minh chỉ từ tên phiên bản.

Lỗ hổng nằm trong các chức năng quản trị của Sage AR Automation API, nơi quyền của người dùng không được kiểm tra đầy đủ trước khi thực hiện thao tác nhạy cảm. Ở mức khái quát, thành phần bị kiểm soát là yêu cầu API gọi chức năng quản trị từ một tài khoản đã xác thực nhưng có quyền thấp. Việc khai thác yêu cầu truy cập mạng tới API, một tài khoản hợp lệ và không cần tương tác của người dùng khác; dữ liệu được cung cấp mô tả độ phức tạp tấn công là cao. Nếu yêu cầu được chấp nhận, người dùng có thể tạo tài khoản quản trị và đạt đặc quyền cao hơn. Bản ghi không nêu endpoint, tham số, hàm triển khai hoặc cơ chế xác thực cụ thể, vì vậy không thể xác định chi tiết chuỗi yêu cầu hay phạm vi chính xác của từng chức năng. Dữ liệu phiên bản của CNA xác định các bản trước June-R1-2026 là bị ảnh hưởng.

Lỗ hổng có thể bị khai thác qua mạng bởi người dùng đã xác thực với đặc quyền thấp. Không yêu cầu người dùng khác tương tác, nhưng bản ghi đánh giá độ phức tạp tấn công là cao. Kết quả bổ sung CISA ADP hiện có ghi nhận trạng thái khai thác là none và khả năng tự động hóa là no tại thời điểm đánh giá đó. Bản ghi được cung cấp không xác định public exploit hoặc chiến dịch khai thác cụ thể; điều này không loại trừ các hoạt động chưa được báo cáo. Điều kiện tiền đề quan trọng là kẻ tấn công phải có tài khoản hợp lệ và có thể tiếp cận Sage AR Automation API.

Lỗi này cho phép một tài khoản đã xác thực với đặc quyền thấp tạo tài khoản quản trị, từ đó phá vỡ ranh giới đặc quyền của ứng dụng. Tài khoản mới có thể dẫn đến truy cập trái phép, thay đổi dữ liệu hoặc cấu hình và ảnh hưởng đến tính sẵn sàng của các chức năng quản trị, tùy vào quyền mà hệ thống cấp cho tài khoản đó. Dữ liệu đánh giá đi kèm mô tả tác động cao trên tính bảo mật, toàn vẹn và sẵn sàng, nhưng không nêu chi tiết về ranh giới tenant, phạm vi dữ liệu hay các chức năng quản trị cụ thể. Vì vậy, mức độ ảnh hưởng thực tế cần được xác định từ cấu hình triển khai, dữ liệu audit và quyền được cấp trong môi trường cụ thể.

• Người dùng quyền thấp có thể tạo tài khoản quản trị trái phép, làm thay đổi mô hình phân quyền và mở rộng quyền truy cập trong hệ thống.
• Tài khoản quản trị được tạo có thể cho phép truy cập dữ liệu nhạy cảm, thay đổi cấu hình hoặc sửa dữ liệu, tùy theo phạm vi chức năng của triển khai.
• Các thay đổi quản trị trái phép có thể ảnh hưởng đến tính đúng đắn của quy trình thu hồi công nợ, cấu hình tích hợp hoặc hoạt động vận hành.
• Nếu tài khoản không được phát hiện và thu hồi, quyền truy cập có thể tiếp tục tồn tại sau phiên làm việc ban đầu. Bản ghi không xác nhận một vụ rò rỉ dữ liệu, gián đoạn dịch vụ hoặc nạn nhân cụ thể nào.

1. Kiểm kê các triển khai Sage AR Automation và xác định những triển khai đang chạy phiên bản nhỏ hơn June-R1-2026.
2. Nâng cấp các triển khai bị ảnh hưởng lên June-R1-2026, là ranh giới không bị đánh dấu trong dữ liệu affected của CNA. Xác nhận đường nâng cấp được Sage hỗ trợ trước khi triển khai trong môi trường production.
3. Với các nhánh song song hoặc phiên bản không được liệt kê rõ trong bản ghi, xác nhận trạng thái trực tiếp với Sage thay vì mặc định coi là đã được sửa.
4. Cho đến khi cập nhật, hạn chế khả năng truy cập mạng tới API và rà soát quyền tài khoản ở mức tối thiểu nếu việc này phù hợp với kiến trúc vận hành. Đây là biện pháp giảm thiểu chung, không phải workaround được vendor xác nhận.
5. Rà soát và vô hiệu hóa các tài khoản quản trị không mong muốn, đồng thời kiểm tra các thay đổi đặc quyền và hoạt động quản trị bất thường trong thời gian triển khai phiên bản bị ảnh hưởng.
6. Sage cũng công bố các thay đổi về bảo mật và xác thực trong June-R2-2026, nhưng advisory hiện có không liên kết rõ các thay đổi đó với lỗ hổng này; không nên coi release đó là bằng chứng độc lập về trạng thái đã sửa nếu chưa xác nhận đường phát hành áp dụng cho hệ thống.

• Kiểm kê các triển khai Sage AR Automation có sử dụng Cash Collect và xác định chính xác release đang chạy.
• Đánh dấu mọi triển khai có phiên bản nhỏ hơn June-R1-2026 để xử lý ưu tiên.
• Rà soát audit record sẵn có trong giai đoạn các bản bị ảnh hưởng để tìm việc tạo tài khoản quản trị bất ngờ, thay đổi đặc quyền hoặc hoạt động quản trị do tài khoản quyền thấp thực hiện.
• Kiểm tra các tài khoản quản trị mới và xác nhận chủ sở hữu, thời điểm tạo, lý do nghiệp vụ và các thay đổi đã thực hiện.
• Không có endpoint, tên sự kiện log hoặc IOC cụ thể nào được công bố trong bằng chứng hiện có; các hoạt động giám sát bổ sung nên được xem là biện pháp phòng ngừa, không phải chỉ dấu đã được vendor xác nhận.