CVE-2026-6837: Zyxel export-cgi PKCS#12 コマンドインジェクション

このリポジトリは、CVE-2026-6837 に関する公開ライトアップ、クイック検証スクリプト、および補足証跡をまとめたものです。

これは何か

CVE-2026-6837 は、Zyxel の export-cgi ハンドラにおける認証後コマンドインジェクションの脆弱性です。category=pkcs12 ブランチでは、ハンドラが証明書名とエクスポートパスワードからシェルコマンドを構築し、その文字列を system() に渡します。巧妙に細工された二重引用符がパスワードの意図された文字列を抜け出し、シェル構文を実行させます。

このリポジトリのローカルリバースエンジニアリング作業は WAX650S V7.10(ABRM.4)C0 に基づいていますが、Zyxel の 2026-08-04 付けのアドバイザリでは 18 台の対象 AP モデルが記載されています。

ファイル

• index.html: スタンドアロンの公開用 HTML ライトアップ
• writeup.md: ライトアップのマークダウンソース
• poc/reproduce.sh: 管理者認証済みコマンドインジェクション用のラボ検証スクリプト
• evidence/finding2_cmdi_transcript.txt: HTTP レスポンス内に注入された id 出力を示すトランスクリプト
• evidence/firmware_identification.txt: 元のレポートからのファームウェア特定メモ

クイック検証

chmod +x poc/reproduce.sh
./poc/reproduce.sh <device_ip> <admin_authtok> <certname>

期待される成功シグナル:

uid=0 gid=0(root) groups=0(root)

注記

• 許可を受けたテストのみを実施してください。
• 脆弱なパスが実行されるには、対象の証明書名がデバイスの証明書ストアにすでに存在している必要があります。
• 元のワークスペースにはより広範な Zyxel 研究も含まれていますが、このリポジトリは意図的に CVE-2026-6837 の証跡セットに絞り込まれています。
• より深いエミュレーションおよびリホスティングのパスについては、https://github.com/minanagehsalalma/zyxel-wax650s-research-notebook-public を参照してください。