Gotenberg: эксплойт CVE-2026-42589 разворачивает Go-имплант cache_base

Gotenberg эксплуатируют для развертывания Go-импланта cache_base

В октябре 2026 года зафиксирована эксплуатация уязвимости CVE-2026-42589 в Gotenberg. Атакующий использовал её для развертывания кастомного Go-импланта reverse shell под названием cache_base. Активность исходила с японского IP-адреса и продолжалась несколько дней. Исследователи получили полную цепочку эксплойта, включая выполнение команд, получение вывода и три попытки загрузки импланта с независимых зеркал. Анализ импланта и его инфраструктуры управления выявил репозиторий GitHub с семимесячной историей разработки, содержащий дополнительные бэкдоры и инструменты повышения привилегий.

Gotenberg преобразует документы в PDF с помощью Chromium и LibreOffice

Gotenberg — это open-source API на базе Docker, который конвертирует документы в PDF. Он использует headless Chromium и LibreOffice для преобразования HTML, URL и файлов Office в PDF. Продукт популярен для генерации счетов, отчетов и систем управления документами. Gotenberg насчитывает более 97 миллионов скачиваний Docker-образа и 12 тысяч звезд на GitHub. Его используют тысячи компаний.

Уязвимость CVE-2026-42589 затрагивает Gotenberg версии до 8.31.0

Атакующие нацеливались на эндпоинт POST /forms/pdfengines/metadata/write. Уязвимость CVE-2026-42589 позволяет внедрять аргументы ExifTool через недопустимые ключи метаданных JSON. Вставка символов новой строки в ключ JSON дает возможность выполнить произвольный код Perl. Уязвимость имеет рейтинг CVSS 9.8. Исправление доступно в Gotenberg версии 8.31.0. В период анализа зафиксировано 1358 событий эксплуатации CVE-2026-42589 со 128 уникальных IP-адресов. Уязвимость не включена в каталог CISA KEV.

Обновиться до 8.31.0 или использовать патч безопасности

Атакующий использовал четырехэтапную цепочку для подтверждения уязвимости и загрузки импланта. Сначала выполнялась команда id с перенаправлением вывода в файл /tmp/nx_cmd.txt. Затем вывод извлекался через оператор ExifTool -Subject<=. После подтверждения уязвимости злоумышленник пытался загрузить payload cache_base с помощью wget, curl или Node.js fetch. В случае отсутствия wget или curl использовался Node.js, так как Gotenberg работает на этой платформе. После загрузки выполнялась команда ls для проверки наличия файла. Исследователи обнаружили, что репозиторий secmonjp/alxpng содержит более широкий набор инструментов, включая бэкдоры, утилиты повышения привилегий для Windows и PHP веб-шеллы. Также найден второй билд импланта cache_cn с иной инфраструктурой C2. Один из зеркал, cheeva.strangled[.]net, использовал бесплатный сервис динамических DNS от afraid.org.