CVE-2026-96515에 대한 기술 보고서 및 인증된 리버스 셸 PoC로, Netlink HG323RW 라우터의 BOA 진단 가져오기 핸들러에 존재하는 루트 명령 실행 취약점입니다.
인증된 제한된 웹 사용자는 Netlink HG323RW 진단 가져오기 핸들러를 통해 셸 스크립트를 업로드할 수 있으며, UID-0 BOA 프로세스가 이를 실행하게 할 수 있습니다. 인증과 유효한 verification/CSRF 값이 필요합니다. 이 저장소는 인증 전 코드 실행을 주장하지 않습니다.
| 필드 | 값 |
|---|---|
| CVE | CVE-2026-96515 |
| 제품 | Netlink ICT HG323RW 라우터 |
| 영향받는 하드웨어 | V3.7 |
| 영향받는 펌웨어 | 3.1.02-260228 (Netlinkver) |
| 구성 요소 | bin/boa |
| 엔드포인트 | /boaform/formImportOMCIShell |
| 필요한 접근 권한 | 인접/사설 네트워크의 인증된 제한된 웹 계정 |
| 입증된 영향 | 업로드된 셸 콘텐츠가 UID 0으로 실행됨 |
| CWE | CWE-862 (Missing Authorization), CWE-434 (Unrestricted Upload of File with Dangerous Type) |
| CVSS | 8.6 High — CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 수정된 펌웨어 | 3.1.02-260904 (CERT-In에서 보고하고 독립적으로 검사함; 런타임 검증을 통해 /boaform/formImportOMCIShell과 /boaform/admin/formImportOMCIShell 모두 HTTP 404를 반환함을 확인) |
| 보고자 | Muhammed Safvan |
CERT-In은 2026년 9월 24일 권고 CIVN-2026-0473으로 이 기록을 발표했습니다. Netlink는 펌웨어 페이지에 펌웨어 다운로드를 나열합니다.
공장 기본 제한 계정은 /etc/config_default.xml에 프로비저닝되며, BOA는 시작 중에 구성된 MIB 값으로부터 /var/boaUser.passwd를 생성합니다. 제한된 사용자로 인증한 후, 요청은 formImportOMCIShell에 binary라는 이름의 multipart 필드를 제출할 수 있습니다. 평가된 bin/boa의 증거는 목적지 /tmp/omcishell과 실행 싱크 /bin/sh /tmp/omcishell을 식별합니다.
제공된 승인된 장치 트랜스크립트는 실제, 유효, 저장된 집합 및 파일 시스템 UID/GID가 모두 0인 셸을 기록합니다. 정확한 C 소스와 릴리스 이력은 이용할 수 없었으므로, 영향받는 버전 주장은 의도적으로 평가된 이미지로 제한됩니다. 평가된 아카이브와 CNA에 나열된 패치된 아카이브 모두 firmware/ 아래에 보존되어 있습니다. 그들의 구조, 내장 버전 및 체크섬은 검증되었지만, 이 패키징 단계에서는 익스플로잇 회귀가 재실행되지 않았습니다.
전체 분석, 전제 조건, 증거 한계 및 교정 지침은 REPORT.md를 읽어보세요.
REPORT.md — 자체 포함 기술 보고서.poc/ — 인증된 사설 LAN 리버스 셸 PoC 및 사용 노트.analysis/ — 계정 프로비저닝, 라우팅 및 역할 동작에 대한 정제된 정적 분석 노트.binary/ — 평가된 이미지에서 추출한 좁은 BOA 식별, 문자열 및 해시 증거.firmware/ — 완전한 취약 및 패치된 벤더 펌웨어 아카이브, 해시 및 업그레이드 경고.runtime/ — 정제된 펌웨어 메타데이터 및 제공된 런타임 증명 출처.hashes/ — 소스 아티팩트 다이제스트 및 검증 결과.MANIFEST-SHA256.txt — 다른 모든 추적된 저장소 파일의 다이제스트.두 개의 완전한 펌웨어 아카이브는 추출된 작업 트리 없이 배포됩니다. 활성 세션, CSRF 토큰, 장치 식별자, 고객 데이터, 별도로 내보낸 인코딩된 비밀번호 또는 비공개 자격 증명은 포함되지 않습니다. 공장 기본 자격 증명 쌍은 영향받는 구성에 중요하므로 논의됩니다. 펌웨어 재배포 및 사용은 벤더의 약관에 따릅니다.
공개 PoC는 고정된 FIFO 기반 리버스 셸 페이로드를 업로드하고 대화형 리스너를 제공하므로, 연결 후 입력된 명령이 라우터에서 실행됩니다. 공개 대상 및 콜백 주소를 거부하고, 기본적으로 비밀번호를 묻고, 운영자가 문서화된 자동화 재정의를 제공하지 않는 한 명시적인 EXECUTE 확인을 요구합니다. 구문 검사는 되었지만 이 저장소 업데이트 중에는 실행되지 않았습니다. 소유하거나 명시적으로 테스트 권한이 있는 장치에서만 사용하세요.
소유자가 제공한 데모 비디오는 작성자 머신 특정 로컬 경로와 데스크톱 컨텍스트를 표시하므로 이 공개 저장소 외부에 보관되었습니다. 저장소는 이제 해당 리버스 셸 PoC 소스를 포함합니다. 녹화의 해시와 보수적인 관찰 요약은 runtime/video-observation.txt에 보존되어 있습니다.