Введение

Всем привет, ещё в мае я нашёл неплохие уязвимости в своём роутере, и сегодня я наконец могу всем о них рассказать!

Обе уязвимости в этом репозитории — это аутентифицированные уязвимости типа «отказ в обслуживании» (Denial of Service)!

Я не знаю точных технических деталей того, как и почему эти уязвимости работают, мы так и не получили ответа от Calix (в данном случае — вендора), так что дааа! весело!

Это также мои первые и вторые CVE в жизни, два по цене одного, без проблем.

CVE-2026-19745

CVE-2026-19745 — это DoS-уязвимость, связанная с некорректным завершением или освобождением ресурсов, затрагивающая мой роутер :)

https://nvd.nist.gov/vuln/detail/CVE-2026-19745

«Обнаружен дефект в Calix GigaSpire 26.1.0. Затронута неизвестная функция файла utilities_configurationsave.cgi компонента Web Management Interface. Выполнение манипуляции с аргументом sessionKey может привести к отказу в обслуживании. Атака может быть запущена удалённо. Эксплойт опубликован и может быть использован. Вендор был заранее уведомлён об этом раскрытии, но никак не ответил».

Объяснение

VulDB решила, что подходящей CWE является CWE-404, что меня немного удивило, потому что я думал о CWE-835. К сожалению, у меня нет технических деталей о том, почему это произошло, но могу сказать, что я нашёл эти два CVE совершенно случайно.

Хронология

30 мая: Уязвимость найдена. Изначально я думал, что это просто какое-то ограничение частоты запросов, пока не попробовал использовать сайт с другого компьютера — оказалось, что это не так.

31 мая: После моральной подготовки я решил, что об этом стоит сообщить, даже если изначально я ошибался.

15 июня: Мне исполнилось 16, что, очевидно, очень важно для хронологии.

24 июня: Сообщил в VulnDB.

26 июня: Calix (наконец-то) ответил мне, что было неожиданно. Заявили, что никакой уязвимости не существует, но они собираются «исправить» это в следующем релизе ?? ну и ладно. В тот же день я ответил, приложив видео-доказательства того, что мой отчёт — это реальная уязвимость, но ответа я так и не получил.

13 августа: CVE присвоен VulDB.

Ответ

Calix заявил, что это ожидаемое поведение из-за тайм-аута, пока приложение ожидает ввода от пользователя. Возможно, это действительно так, но это не должно влиять на других пользователей.

alt text

Видео

https://github.com/user-attachments/assets/6aa509d4-ee69-4ed6-a9bb-1324f77a7036

Calix — бог общения

Как следует из хронологии, Calix не особо помог, кроме как в присвоении CVE из-за отсутствия коммуникации. Насколько мне известно, VulDB связывалась с Calix, и они сами так и не получили ответа.

Я бы с удовольствием показал вам ответ, который они мне дали, но, к сожалению, мне это не разрешено :( По сути, они просто сказали, что не смогли воспроизвести проблему и не собираются её исправлять, за исключением traceroot (см. ниже).

CVE-2026-19746

https://github.com/user-attachments/assets/62c1ae62-8d52-4e97-975c-3c14ee6d8c95

Объяснение

Я просматривал все конечные точки, которые открывает браузерный интерфейс, и заметил traceroot.cmd, который принимает операцию отмены. Я подумал про себя: что будет, если я просто отменю traceroot, который не существует?

Я попробовал, и оказалось, что весь интерфейс падает, всех разлогинивает, а прошлые куки и прочее аннулируются.

Именно эту уязвимость Calix собирается исправить, утверждая, что DoS здесь нет, но это вызывает «неожиданный» путь выполнения кода.

Заключение

Хочу выразить огромную благодарность команде модерации и безопасности VulDB — они отлично поработали, проверив мои отчёты и отнесясь к ним серьёзно (в отличие от кое-кого здесь). В будущем я с нетерпением жду возможности отправлять новые отчёты! :)

P.S.: Я очень нервничал, когда пытался отправить это, потому что делаю такое впервые и не был уверен, является ли то, что я нашёл, уязвимостью или нет. Однако я понял это, когда протестировал все эти уязвимости на отдельном компьютере! То есть мой первый компьютер выступал в роли атакующего, пока на втором был выполнен вход, и эффекты были видны на обоих компьютерах!

Я считаю, что анализ VulDB здесь зашёл слишком далеко (возможно, ИИ), но ладно, например, они назвали это «критической уязвимостью безопасности», хотя на самом деле это не так.

Прочее

В течение этого периода я также отправил примерно 2 повторных письма и не получил ничего, кроме ошибок от их почтового сервиса, а на предыдущее письмо меня просто проигнорировали.

alt text