CVE-2026-6837: Zyxel export-cgi PKCS#12-Befehlsinjektion

Dieses Repository bündelt den öffentlichen Writeup, das Schnellverifikationsskript und unterstützende Beweise für CVE-2026-6837.

Was dies ist

CVE-2026-6837 ist eine Schwachstelle durch Befehlsinjektion nach der Authentifizierung im export-cgi-Handler von Zyxel. Im category=pkcs12-Zweig erstellt der Handler aus dem Zertifikatsnamen und dem Export-Passwort einen Shell-Befehl und übergibt diese Zeichenfolge an system(). Ein präpariertes doppeltes Anführungszeichen im Passwort bricht aus der vorgesehenen Zeichenfolge aus und führt Shell-Syntax aus.

Die lokale Reverse-Engineering-Arbeit in diesem Repository wurde anhand von WAX650S V7.10(ABRM.4)C0 durchgeführt, aber der Zyxel-Sicherheitshinweis vom 2026-08-04 listet 18 betroffene AP-Modelle auf.

Dateien

• index.html: eigenständiger, öffentlich zugänglicher HTML-Writeup
• writeup.md: Markdown-Quelle für den Writeup
• poc/reproduce.sh: Labor-Verifikationsskript für die administrator-authentifizierte Befehlsinjektion
• evidence/finding2_cmdi_transcript.txt: Transkript, das die injizierte id-Ausgabe in der HTTP-Antwort zeigt
• evidence/firmware_identification.txt: Notizen zur Firmware-Identifizierung aus dem ursprünglichen Bericht

Schnellverifizierung

chmod +x poc/reproduce.sh
./poc/reproduce.sh <device_ip> <admin_authtok> <certname>

Erwartetes Erfolgssignal:

uid=0 gid=0(root) groups=0(root)

Hinweise

• Nur autorisierte Tests.
• Der Ziel-Zertifikatsname muss bereits im Zertifikatsspeicher des Geräts vorhanden sein, damit der angreifbare Pfad ausgeführt wird.
• Der ursprüngliche Arbeitsbereich enthält auch umfassendere Zyxel-Forschung; dieses Repository ist absichtlich auf den Beweissatz für CVE-2026-6837 eingegrenzt.
• Für den tiefergehenden Emulations- und Rehosting-Pfad siehe https://github.com/minanagehsalalma/zyxel-wax650s-research-notebook-public.