Для Telerik UI вышел публичный эксплойт цепочки уязвимостей с удалённым выполнением кода
Исследователь TantoSec опубликовал инструмент, превращающий уязвимость типа padding oracle в Telerik UI for ASP.NET AJAX в удалённое выполнение кода без аутентификации. Исправления доступны с июля, а атака возможна только при определённой нестандартной конфигурации приложения.
Исследователь безопасности Марсиу Алмейда из TantoSec опубликовал рабочую цепочку атак на Telerik UI for ASP.NET AJAX. Она позволяет неаутентифицированному атакующему выполнить код на сервере, где работает уязвимое приложение. Вместе с разбором исследователь выпустил консольный инструмент telerik-rau-exploit и два варианта полезной нагрузки.
Progress Software исправила уязвимости ещё 8 июля в версии Telerik UI for ASP.NET AJAX 2026.2.708 (2026 Q2 SP1), а бюллетень с CVE был опубликован 22 июля. Новым событием стала публикация полной методики атаки и готового инструментария 7 сентября. По данным Progress, затронуты версии компонента RadAsyncUpload от 2010.1.309 до 2026.2.519; версия 2026.2.708 и более новые релизы защищены.
Цепочка не работает против любой установки с уязвимой версией Telerik UI. Для атаки необходимы два условия: страница должна использовать RadAsyncUpload и обрабатывать на сервере результат загрузки, а для компонента должен быть задан явный нестандартный ключ шифрования. При этом использование собственного ключа ранее рекомендовалось Telerik как мера защиты.
Начальным звеном служит CVE-2026-13182 — уязвимость класса padding oracle. RadAsyncUpload шифрует клиентское состояние с помощью AES-CBC, но не проверяет целостность данных. Сервер по-разному отвечает на изменённые данные в зависимости от корректности padding и ошибки разбора JSON. Это позволяет восстановить, а затем подделать зашифрованную конфигурацию загрузки, не зная ключа.
Далее атакующий может указать произвольный тип .NET. Компонент разрешает такой тип без списка допустимых значений — эта проблема получила идентификатор CVE-2026-13181 и оценку CVSS 8,1. Затем данные десериализуются в объект, способный загрузить DLL из контролируемого атакующим расположения. Опубликованные TantoSec нагрузки либо записывают веб-шелл на диск, либо выполняются в памяти. Код запускается с правами пула приложений IIS.
В лабораторном тесте полная атака потребовала около 127 тысяч запросов к oracle и заняла примерно час. Если приложение не показывает подробные ошибки, состояние oracle всё ещё можно определять по времени ответа; этот вариант отслеживается как CVE-2026-13183.
Подтверждённых случаев эксплуатации именно этих уязвимостей нет. На 7 сентября они также отсутствовали в каталоге CISA Known Exploited Vulnerabilities. Вместе с тем RadAsyncUpload ранее уже использовался в реальных атаках через другие, более старые уязвимости.
Progress рекомендует обновить Telerik UI for ASP.NET AJAX до версии 2026.2.708 или новее: в ней прежняя схема AES-CBC заменена на аутентифицированное шифрование. Если немедленное обновление невозможно, компания советует включить customErrors в режим RemoteOnly или On, отключить обработчик загрузки Telerik.Web.DisableAsyncUploadHandler, если RadAsyncUpload не используется, либо отказаться от пользовательского ключа в пользу ключа ASP.NET machine key с AES и HMAC. Компания предупреждает, что успешная атака может не оставить заметных следов в стандартных журналах ошибок ASP.NET.