CVE-2026-54161 PoC

Résumé

upsmon interpole la valeur ups.alarm fournie par le serveur et contrôlable par l'attaquant, non assainie, dans une commande shell qu'il exécute via system(). Lorsqu'un périphérique surveillé signale un état ALARM et que l'opérateur a configuré NOTIFYCMD avec EXEC sur l'événement ALARM, une valeur ups.alarm contenant une substitution de commande shell ($(...) / backticks sur POSIX, ou une rupture de guillemet "&…&" sur cmd.exe Windows) entraîne l'exécution arbitraire de commandes système en tant qu'utilisateur upsmon — généralement root, car upsmon s'exécute en tant que root pour gérer l'arrêt du système.

Composant affecté / versions

• Composant : clients/upsmon.c (notify(), et les jumeaux WIN32 async_notify() et wall()), piloté par le message NOTIFY_ALARM standard dans clients/upsmon.h.
• Affecté : NUT 2.8.3, 2.8.4, 2.8.5, et le git master actuel. Non affecté : ≤ 2.8.2. Confirmé en différenciant les tags v2.8.2 vs v2.8.3 : la gestion de ups.alarm → NOTIFY_ALARM (ups_is_alarm(), do_notify(…, NOTIFY_ALARM, …), le GET ups.alarm) a été introduite dans 2.8.3 (via l'issue #2657 / PR #2658). Vérifié vulnérable sur les paquets fournis (Fedora 42/43), (Fedora 41 / Debian sid / ubuntu:rolling), (Ubuntu 25.10) ; non déclenché sur (Debian trixie/stable, Ubuntu 24.04 LTS).

Veuillez vous référer à GHSA-mjgp-j4gm-6qg5 pour lire le rapport complet.

Démo

https://github.com/user-attachments/assets/a3e76a3f-9be4-4a72-b5e7-3ae9bdcf3de7

Références

• https://github.com/networkupstools/nut/security/advisories/GHSA-mjgp-j4gm-6qg5
• https://github.com/networkupstools/nut/pull/3499
• https://nvd.nist.gov/vuln/detail/CVE-2026-54161