CVE-2026-6837 : Injection de commande PKCS#12 dans Zyxel export-cgi

Ce dépôt regroupe l'analyse publique, le script de vérification rapide et les preuves associées pour CVE-2026-6837.

Ce que c'est

CVE-2026-6837 est une faille d'injection de commande post-authentification dans le gestionnaire export-cgi de Zyxel. Sur la branche category=pkcs12, le gestionnaire construit une commande shell à partir du nom du certificat et du mot de passe d'exportation, puis transmet cette chaîne à system(). Un guillemet double astucieusement placé dans le mot de passe permet de sortir de la chaîne prévue et d'exécuter une syntaxe shell.

Le travail de rétro-ingénierie locale de ce dépôt s'appuie sur WAX650S V7.10(ABRM.4)C0, mais l'avis de Zyxel du 2026-08-04 liste 18 modèles de points d'accès concernés.

Fichiers

• index.html : page HTML autonome présentant l'analyse au public
• writeup.md : source markdown du rapport
• poc/reproduce.sh : script de vérification en laboratoire pour l'injection de commande authentifiée en tant qu'administrateur
• evidence/finding2_cmdi_transcript.txt : transcription montrant la sortie de la commande id injectée dans la réponse HTTP
• evidence/firmware_identification.txt : notes d'identification du firmware issues du rapport d'origine

Vérification rapide

chmod +x poc/reproduce.sh
./poc/reproduce.sh <device_ip> <admin_authtok> <certname>

Signal de succès attendu :

uid=0 gid=0(root) groups=0(root)

Remarques

• Tests autorisés uniquement.
• Le nom du certificat cible doit déjà exister dans le magasin de certificats de l'appareil pour que le chemin vulnérable puisse s'exécuter.
• L'espace de travail d'origine contient également des recherches plus larges sur Zyxel ; ce dépôt est volontairement limité à l'ensemble des preuves de CVE-2026-6837.
• Pour approfondir la voie d'émulation et de ré-hébergement, voir https://github.com/minanagehsalalma/zyxel-wax650s-research-notebook-public.