diff --git a/data.json b/data.json index 40986e8b..ab731fb3 100644 --- a/data.json +++ b/data.json @@ -27339,5 +27339,14 @@ "https://mp.weixin.qq.com/s/_x1pvunVsjvnwdD0yNq_Zg": "Google报告1-8月漏洞披露量翻倍，AI改变漏洞发现风险结构", "https://mp.weixin.qq.com/s/uPx__uGTfdiL6ax6inFktg": "从漏洞治理到网络韧性，数字化环境下网络安全治理模式的转型", "https://mp.weixin.qq.com/s/ZhSJE1K2Ym1C6gQhTIfCBQ": "思科 SD-WAN 严重漏洞允许远程攻击者绕过管理员身份验证", - "https://mp.weixin.qq.com/s/EGPS-PwNvYlXjfnjAL-5oQ": "EasyCVR视频管理平台adduser未授权添加用户漏洞" + "https://mp.weixin.qq.com/s/EGPS-PwNvYlXjfnjAL-5oQ": "EasyCVR视频管理平台adduser未授权添加用户漏洞", + "https://mp.weixin.qq.com/s/VgA-72KbHkw8NIHgf_2bWw": "N∕A | ShowDoc未授权PHP代码注入漏洞（POC）", + "https://mp.weixin.qq.com/s/I_MHFkqXeB69Fc4gXbD1Wg": "震惊！百度开源这款安全扫描工具，精准定位十大Web漏洞，误报率极低！", + "https://mp.weixin.qq.com/s/WtG9OmIYU04MW2n6RUE0UA": "CVE-2026-61500 | Rejetto HFS会话伪造导致远程代码执行（POC）", + "https://mp.weixin.qq.com/s/ArSNz3FYoCYZJJ-uRXMpug": "代码能跑就敢上线？这款大厂开源AI审计工具，帮你堵死90%隐形漏洞", + "https://mp.weixin.qq.com/s/Yrup0FLt0F2h7HxUMR0lHQ": "账户删除绕过漏洞", + "https://mp.weixin.qq.com/s/ndyRu3riUv4AMvv8hSH9Kg": "(9.3分) CVE-2026-61500：HFS文件服务器认证绕过RCE", + "https://mp.weixin.qq.com/s/AhltFvD-T53Is1fIMbNR5A": "Adminer 5.4.2 三个0-day漏洞分析与修复建议", + "https://mp.weixin.qq.com/s/Lkz7_t09Cj0YoHT5spSPWw": "WebSocket协议漏洞02_IDOR越权与DoS拒绝服务实战", + "https://mp.weixin.qq.com/s/UynMv_m53Nb9fnZW0FZCyA": "Dell System Update 5个漏洞：最高严重度9.6，可被用于root权限代码执行" } \ No newline at end of file diff --git a/doc/2026-10/(9.3分) CVE-2026-61500：HFS文件服务器认证绕过RCE.md b/doc/2026-10/(9.3分) CVE-2026-61500：HFS文件服务器认证绕过RCE.md new file mode 100644 index 00000000..c733a121 --- /dev/null +++ b/doc/2026-10/(9.3分) CVE-2026-61500：HFS文件服务器认证绕过RCE.md @@ -0,0 +1,115 @@ +# (9.3分) CVE-2026-61500：HFS文件服务器认证绕过RCE +红队安全圈 + 红队安全圈 红队安全圈 2026-10-06 00:30 + +AI辅助挖洞挖出真弹：HFS 3.x会话伪造漏洞已被野外利用，弱随机数加数学求解直通RCE。 + +## 01  漏洞速览 + +漏洞编号 +CVE-2026-61500 + +影响产品 +Rejetto HFS 3.0.0 – 3.2.0 + +漏洞类型 +会话伪造→认证绕过→RCE + +危害等级 +CVSS 9.3（严重） + +是否在野 +是，已观测到探测 + +攻击前提 +无需认证，网络可达即可 + +修复版本 +3.2.1（2026-07-13） + +## 02  漏洞成因 + +根因一句话：HFS用  +Math.random() + 生成会话签名密钥，而这个随机是可预测的。拆开看三个点： + +第一，HFS启动时用  +Math.random() + 生成一个值，交给Node.js框架Koa，Koa通过Keygrip用它签发所有会话Cookie。 + +第二，V8的  +Math.random() + 底层是 xorshift128+ 伪随机数生成器——它压根不是为安全设计的，输出可预测：只要观察到足够多的输出，就能还原内部状态，甚至倒推之前的输出。 + +第三，更致命的是HFS自己把同一条随机数流的值泄了出去：登录时会把一个  +Math.random() + 值放进会话状态，随Cookie发给客户端。攻击者能采到生成签名密钥的同一个生成器的输出。 + +xorshift128+ 的内部状态由两个64位值构成，运算全部可逆。收集足够多的连续输出，就能还原内部状态，再向前回推到进程启动时生成的签名密钥。这里需要的是数学，不是模式匹配。 + +## 03  影响范围 + +受影响的是 Rejetto HFS 3.0.0 至 3.2.0，升级到 3.2.1 即解决。官方同时提醒：旧版本存在多个可导致管理员权限被获取的漏洞，2.x 用户同样建议尽快升级。 + +## 04  利用分析 + +已有完整利用链（有PoC），路径如下： + +**第一步，用户枚举。** +确认内置管理员账户是否存在——这个前置弱点也被一并找了出来。 + +**第二步，采样。** +从未认证接口收集泄露的  +Math.random() + 输出，公开利用样本采集了12次。 + +**第三步，求解。** +把观测值喂给Z3（微软开源SMT求解器），重建 xorshift128+ 内部状态。 + +**第四步，回推。** +状态倒推，恢复进程启动时生成的签名密钥。 + +**第五步，伪造与RCE。** +用密钥伪造管理员会话Cookie，HFS当作已认证放行，再通过管理员功能在服务器上执行任意命令。 + +整条链不需要任何内存破坏，不需要花哨的内核洞——弱随机源、信息泄露、应用信任会话状态，三件套凑齐就完事。 + +## 05  检测与排查 + +查版本： + +curl -sI http://target/ \ + +  | grep -i server + +另外检查：是否有未授权管理接口暴露、登录页会话Cookie是否可未认证获取、日志中针对登录与会话接口的高频请求（12次左右的采样特征）。当前野外活动仍是小规模侦察：已观测到来自单一中国电信IP的探测，命中日本和美国的蜜罐节点。 + +## 06  修复建议 + +1. 升级到 HFS 3.2.1 或更高版本，唯一正解。 + +2. 无法立即升级的：把HFS挪进内网、收紧防火墙规则、限制来源IP。 + +3. 升级后验证：旧会话全部失效，伪造Cookie应返回401。 + +## 07  红队视角 + +这个洞对红队的真正价值在方法论。传统手工审计里，弱随机数这类洞经常被放弃——证明实际影响太耗时，还得懂数学。现在SMT求解器加AI能把这段最费时的推理自动化，以前不值得打的洞类别会重新上桌。 + +防御方的思维也要更新：不能再假设利用成本高是护城河，把洞变成武器这件事的成本正在塌方。对蓝队的建议：重点盯会话签名密钥的生成方式，任何用非CSPRNG做安全用途的代码都该进审计清单。 + +用HFS的抓紧升级；不用但对外暴露类似Node/Keygrip架构服务的，也值得自查一遍签名密钥来源。 + +## 08  POC 链接 + +https://securityaffairs.com/200444/ai/anthropic-mythos-found-a-bug-in-rejetto-hfs-attackers-are-now-exploiting-it.html + +说明：含完整漏洞分析与技术细节的公开报道页，利用细节以官方报告为准。 + + +如果文章对您有收获，欢迎**关注** +、点赞、推荐、转发。 + +— END — + + diff --git a/doc/2026-10/Adminer 5.4.2 三个0-day漏洞分析与修复建议.md b/doc/2026-10/Adminer 5.4.2 三个0-day漏洞分析与修复建议.md new file mode 100644 index 00000000..1d3514f2 --- /dev/null +++ b/doc/2026-10/Adminer 5.4.2 三个0-day漏洞分析与修复建议.md @@ -0,0 +1,111 @@ +# Adminer 5.4.2 三个0-day漏洞分析与修复建议 +原创 Dr. Clay + Dr. Clay 黑白之道 2026-10-06 01:32 + +![](https://mmbiz.qpic.cn/mmbiz_png/nGzNudUIJ6M2rER7kVkwkT1faaElEficzLWwqFc6CD94YMO3F1moeibgH8YiaB7dWibLGRRWbBtKPG0eGXqibZQdvjdKxOcb6DmKGAXiaQnft92jo/640?from=appmsg "") +> **导语** +：2026年4月6日，Voorivex红队向Adminer官方上报了三个0-day漏洞，覆盖预认证RCE、存储型XSS和认证后RCE三种攻击路径。官方在5.4.3版本中修复了全部问题，但这些漏洞的存在本身就值得所有Adminer用户警惕——一个被遗忘在服务器上的adminer.php，可能正在静默等待被攻陷。 + +## 一、漏洞概述 + +Adminer是一款流行的开源数据库管理工具，以单个PHP文件的形式分发，全球有数百万开发者将其部署在服务器上用于数据库管理。这种"一个文件搞定一切"的便利性，恰恰也是安全风险的高发地带——当这个文件暴露在公网时，攻击面随之成倍放大。 + +本次Voorivex团队披露的三个0-day漏洞信息如下： +
漏洞编号
类型
认证要求
CVSS
影响版本
CVE-2026-56705
MSSQL PDO DSN注入RCE
预认证
9.8
< 5.4.3
CVE-2026-56704
MySQL版本字符串存储型XSS
预认证
6.1
< 5.4.3
CVE-2026-56703
SQLite VACUUM INTO文件写入RCE
已认证
7.2
< 5.4.3
+其中最危险的CVE-2026-56705无需任何认证，只要Adminer配置了MSSQL/Azure SQL后端，攻击者即可在未登录的情况下直接获取服务器远程命令执行权限。 +## 二、CVE-2026-56705：MSSQL PDO DSN注入（预认证RCE） +### 攻击面为何如此之大 + +CVE-2026-56705之所以危险，首先在于它的攻击条件极为宽松：攻击者只需要能够访问Adminer的登录页面，无需任何凭证即可发起攻击。其次，MSSQL/Azure SQL在企业环境中极为常见，许多开发者为了方便管理数据库，会将adminer.php保留在Web根目录下，这就给了攻击者天然的人口。 +### 漏洞原理：ODBC参数的注入链 + +漏洞的根源在于Adminer在构建MSSQL PDO DSN时，未对用户输入的服务器地址进行充分的过滤。攻击者通过在连接参数中注入分号（;），可以在DSN字符串中追加任意ODBC驱动参数。 + +攻击者利用的核心ODBC参数是TraceFile +和TraceOn +。当DSN被构造为如下形式时： +``` +sqlsrv:Server=127.0.0.1;TraceFile=shell.php;TraceOn=1 +``` + +ODBC驱动在建立连接前会先打开TraceFile +指定的文件，并向其中写入连接元数据。关键在于，这个写入过程会将攻击者控制的UID={...} +字段一并记录进文件——而这个字段的内容完全可以注入PHP代码。 +### 攻击流程 + +整个攻击链分为以下步骤： + +攻击者构造一个恶意服务器地址，例如Server=127.0.0.1;TraceFile=shell.php;TraceOn=1;UID= +，在登录页面的服务器地址字段中提交。Adminer直接将该字段拼接入PDO DSN字符串并传给sqlsrv PDO驱动。ODBC驱动尝试连接时，先将连接元数据（含攻击者注入的PHP代码）写入shell.php +，最后连接失败返回错误。但恶意文件已经成功落地到Web目录。下一步攻击者只需请求shell.php?cmd=id +即可在服务器上执行任意命令。 + +这是一个典型的"副作用型"文件写入漏洞——连接本身失败了，但写入操作在失败之前就已经完成。 +### 影响范围 + +所有使用Adminer连接MSSQL或Azure SQL数据库，且adminer.php暴露在公网的部署均受影响。由于该漏洞在登录前即可触发，攻击门槛接近于零。 +## 三、CVE-2026-56704：MySQL版本字符串存储型XSS +### CSP绕过的精妙之处 + +Content Security Policy（CSP）是现代浏览器提供的核心安全机制之一，能够有效阻止存储型XSS攻击的脚本执行。然而CSP并非无懈可击——如果攻击者能够控制一个带有有效随机数（nonce）的script标签内容，CSP的防护就会完全失效。 + +CVE-2026-56704正是利用了这一点。Adminer在登录页面会显示所连接的数据库服务器的版本信息，这个版本字符串被直接渲染到一个带有nonce +属性的 +``` + +Adminer的SQL查询层本已对ATTACH等危险命令做了限制，但MySQL的版本字符串是一个特殊的存在——它并非来自用户查询，而是来自数据库服务器本身。攻击者只需在网络中部署一个恶意的MySQL服务器，当Adminer尝试连接时，服务器返回的版本字符串会被Adminer直接渲染进DOM。 + +Voorivex团队发现的绕过技巧在于：版本字符串需要匹配一个数字格式的正则表达式，但攻击者可以通过精心构造的非数字字符破坏正则匹配，从而将该字符串"逃逸"出JavaScript上下文，插入任意HTML或脚本内容。由于渲染位置本身在一个有效的