CVE-2026-6837: iniezione di comandi PKCS#12 in export-cgi di Zyxel

Questo repository raccoglie il writeup pubblico, lo script di verifica rapida e le prove di supporto per CVE-2026-6837.

Cos'è

CVE-2026-6837 è una vulnerabilità di iniezione di comandi post-autenticazione nel gestore export-cgi di Zyxel. Nel ramo category=pkcs12, il gestore costruisce un comando shell a partire dal nome del certificato e dalla password di esportazione, per poi passare la stringa a system(). Un doppio apice appositamente creato nella password fuoriesce dalla stringa prevista ed esegue sintassi di shell.

Il lavoro di reverse engineering locale in questo repository è stato condotto su WAX650S V7.10(ABRM.4)C0, ma l'advisory di Zyxel del 2026-08-04 elenca 18 modelli AP interessati.

File

• index.html: writeup HTML standalone rivolto al pubblico
• writeup.md: sorgente markdown del writeup
• poc/reproduce.sh: script di verifica in laboratorio per l'iniezione di comandi con autenticazione admin
• evidence/finding2_cmdi_transcript.txt: trascrizione che mostra l'output di id iniettato nella risposta HTTP
• evidence/firmware_identification.txt: note sull'identificazione del firmware dal report originale

Verifica rapida

chmod +x poc/reproduce.sh
./poc/reproduce.sh <device_ip> <admin_authtok> <certname>

Segnale di successo atteso:

uid=0 gid=0(root) groups=0(root)

Note

• Solo test autorizzati.
• Il nome del certificato target deve già esistere nell'archivio certificati del dispositivo affinché il percorso vulnerabile venga eseguito.
• Il workspace originale contiene anche una ricerca Zyxel più ampia; questo repository è volutamente limitato al set di prove di CVE-2026-6837.
• Per il percorso più approfondito di emulazione e rehosting, vedi https://github.com/minanagehsalalma/zyxel-wax650s-research-notebook-public.