Introduction

Salut tout le monde, en mai j'ai trouvé de belles vulnérabilités dans mon routeur, aujourd'hui je peux enfin tout vous montrer !

Les deux vulnérabilités de ce dépôt sont des vulnérabilités de Déni de Service authentifié !

Je ne connais pas les détails techniques exacts de comment ou pourquoi ces vulnérabilités fonctionnent, nous n'avons jamais eu de réponse de Calix (le fournisseur dans ce cas) donc voilà ! amusant !

C'est aussi mes toutes premières CVE, 2 pour 1, pas de souci.

CVE-2026-19745

CVE-2026-19745 est un DoS par Arrêt ou Libération de Ressource Inappropriée affectant mon routeur :)

https://nvd.nist.gov/vuln/detail/CVE-2026-19745

« Un défaut a été trouvé dans Calix GigaSpire 26.1.0. Une fonction inconnue du fichier utilities_configurationsave.cgi du composant Web Management Interface est impactée. L'exécution d'une manipulation de l'argument sessionKey peut conduire à un déni de service. L'attaque peut être lancée à distance. L'exploit a été publié et peut être utilisé. Le fournisseur a été contacté tôt à propos de cette divulgation mais n'a répondu d'aucune manière. »

Explication

VulDB a décidé que la CWE appropriée est CWE-404, ce qui m'a un peu surpris car je pensais à CWE-835. Malheureusement, je n'ai pas de détails techniques sur la raison de cela, mais je peux vous dire que j'ai trouvé ces deux CVE par pur et simple accident.

Chronologie

30 mai : Vulnérabilité trouvée, au départ je pensais que c'était juste une limitation de débit jusqu'à ce que j'essaie d'utiliser le site web sur un autre ordinateur, il s'est avéré que ce n'était pas le cas.

31 mai : Après une préparation mentale, j'ai décidé que cela valait la peine d'être signalé même si j'avais tort au départ.

15 juin : J'ai eu 16 ans, très important pour la chronologie, évidemment.

24 juin : Signalé à VulnDB.

26 juin : Calix m'a (enfin) répondu, ce qui était inattendu, affirmant qu'aucune vulnérabilité n'existait mais qu'ils allaient la « corriger » à la prochaine version ?? bien joué, j'ai aussi répondu le même jour avec une preuve vidéo que mon rapport était une véritable vulnérabilité, je n'ai reçu aucune réponse après.

13 août : CVE attribuée par VulDB.

Réponse

Calix a dit que c'était un comportement attendu d'un délai d'attente pendant que l'application attend une saisie de l'utilisateur, cela pourrait très bien être le cas mais cela ne devrait avoir aucun effet sur aucun autre utilisateur.

alt text

Vidéo

https://github.com/user-attachments/assets/6aa509d4-ee69-4ed6-a9bb-1324f77a7036

Calix est le dieu de la communication

Comme la chronologie le suggérait, Calix n'a pas été d'une grande utilité en dehors de l'attribution de la CVE en raison du manque de communication, pour autant que je sache, vuldb a contacté Calix et ils n'ont jamais eu de réponse eux-mêmes.

J'aimerais bien vous montrer la réponse qu'ils m'ont donnée, mais je n'y suis malheureusement pas autorisé :( En gros, ils ont juste dit qu'ils n'étaient pas en mesure de reproduire et qu'ils n'allaient pas corriger, sauf celui du traceroot (voir ci-dessous)

CVE-2026-19746

https://github.com/user-attachments/assets/62c1ae62-8d52-4e97-975c-3c14ee6d8c95

Explication

Je regardais tous les points de terminaison que l'interface du navigateur expose et j'ai remarqué traceroot.cmd qui accepte une opération d'annulation. Je me suis dit ce qui se passerait si j'annulais simplement un traceroot qui n'existait pas.

J'ai essayé et il s'est avéré que toute l'interface plante, tout le monde est déconnecté et les anciens cookies et autres sont invalidés.

C'est celui que Calix va corriger, affirmant qu'il n'y a pas de DoS mais que cela déclenche un chemin de code « inattendu ».

Fin

Je voudrais remercier chaleureusement l'équipe de modération et de sécurité de VulDB, ils ont fait un travail formidable en examinant mes rapports et en les prenant au sérieux (contrairement à quelqu'un ici) J'ai hâte de soumettre plus de rapports à l'avenir ! :)

PS : J'étais vraiment nerveux en essayant de soumettre cela parce que c'est la première fois que je fais quelque chose comme ça et je n'étais pas sûr que ce que j'avais trouvé était une vulnérabilité ou non, cependant je savais quand j'ai fait des tests sur toutes ces vulnérabilités sur un ordinateur séparé ! Cela signifie que mon premier ordinateur agissait comme un attaquant pendant qu'un deuxième ordinateur était connecté, et les effets ont été observés sur les deux ordinateurs !

Je pense que l'analyse de VulDB est allée trop loin ici (probablement de l'IA) mais peu importe, comme le fait de le qualifier de « faille de sécurité critique » alors que ce n'est vraiment pas le cas.

Autres choses

Pendant la chronologie, j'ai aussi envoyé environ 2 e-mails de suivi et je n'ai rien obtenu à part des erreurs de quel que soit le service de messagerie qu'ils utilisent et j'ai été ignoré sur le précédent.

alt text