CVE-2026-6837: Injeção de Comandos PKCS#12 no export-cgi da Zyxel

Este repositório reúne o writeup público, o script de verificação rápida e as evidências de suporte para CVE-2026-6837.

O que é isto

CVE-2026-6837 é uma falha de injeção de comandos pós-autenticação no handler export-cgi da Zyxel. No ramo category=pkcs12, o handler constrói um comando shell a partir do nome do certificado e da senha de exportação e, em seguida, passa essa string para system(). Uma aspa dupla cuidadosamente elaborada na senha rompe a string pretendida e executa sintaxe de shell.

O trabalho de engenharia reversa local neste repositório foi ancorado no WAX650S V7.10(ABRM.4)C0, mas o advisory 2026-08-04 da Zyxel lista 18 modelos de AP afetados.

Arquivos

• index.html: writeup HTML autônomo voltado ao público
• writeup.md: fonte markdown do writeup
• poc/reproduce.sh: script de verificação em laboratório para a injeção de comandos autenticada como admin
• evidence/finding2_cmdi_transcript.txt: transcrição mostrando a saída do id injetado na resposta HTTP
• evidence/firmware_identification.txt: notas de identificação de firmware do relatório original

Verificação rápida

chmod +x poc/reproduce.sh
./poc/reproduce.sh <device_ip> <admin_authtok> <certname>

Sinal de sucesso esperado:

uid=0 gid=0(root) groups=0(root)

Notas

• Somente para testes autorizados.
• O nome do certificado alvo já deve existir no armazenamento de certificados do dispositivo para que o caminho vulnerável seja executado.
• O workspace original também contém pesquisa mais ampla sobre a Zyxel; este repositório foi intencionalmente reduzido ao conjunto de evidências de CVE-2026-6837.
• Para o caminho mais aprofundado de emulação e rehosting, consulte https://github.com/minanagehsalalma/zyxel-wax650s-research-notebook-public.