文章总结： CISA于2026年6月30日发布StoneFly存储集中器漏洞公告，其中两个CVSS满分10.0漏洞允许未经身份验证的攻击者以root权限执行命令，影响能源、医疗等行业。漏洞包括命令注入、SQL注入、硬编码凭据和反射型XSS。建议升级至8.0.4.29版本，限制网络访问并轮换凭据。 综合评分： 85 文章分类： 漏洞分析,威胁情报,安全工具

StoneFly 存储集中器漏洞可导致未经身份验证的 root 访问

sec随谈 sec随谈

sec随谈

2026年7月3日 09:42 北京

在小说阅读器读本章

去阅读

摘要

CISA 于 2026 年 6 月 30 日发布了一份针对五个 StoneFly Storage Concentrator（存储集中器）漏洞的公告。其中两个的 CVSS 评分达到满分 10.0，均可让未经身份验证的攻击者以 root 身份运行命令。目前尚未确认存在野外利用行为。

为何值得关注

Storage Concentrator 负责管理企业存储与数据复制，因此它处于数据基础设施的深层位置。CISA 将受影响的设备与能源、医疗、金融和国防等行业关联起来。许多运营方将这些设备部署在 SCADA 历史数据库（historian）和备份存储的后端。此处一旦发生 root 级别的入侵，便会使存储的数据和相连的系统面临暴露。攻击者可能擦除备份、植入勒索软件，或在网络中横向渗透。因此，这些 StoneFly Storage Concentrator 漏洞分量十足。

攻击如何运作

未经身份验证的命令注入

CVE-2026-56413 位于监听 TCP 9000 端口的 ms_service.pl 服务中。它在接受网络数据包时未进行适当的净化处理。因此，远程攻击者只需一个精心构造的数据包便可运行 root 命令。CVE-2026-56415 则位于 debug.pl 脚本中，且无需登录。向该处发送一个恶意的 HTTP 请求，同样可实现 root 命令执行。这两个漏洞均获得了满分 10.0。

SQL 注入与机密窃取

CVE-2026-55721 滥用 login.pl 和 debug.pl 脚本中的 Cookie 值。代码会将这些值直接放入数据库查询中。结果，未经身份验证的攻击者可以提取会话令牌、密码哈希和密钥。这些被窃取的机密随后便可解锁更深层的访问权限。该漏洞的 CVSS 评分为 9.3。

硬编码凭据

CVE-2026-50110 暴露了某个配置文件中的硬编码凭据。这些值虽经过编码，但编码可被逆向还原为明文。它们涵盖数据库、授权许可、数据复制以及第三方账户的凭据。因此，单个泄露的文件便可串联渗透至多个系统。该漏洞的 CVSS 评分为 9.2。

反射型 XSS

CVE-2026-50040 会在 404 错误页面上回显未经净化的输入。因此，一个精心构造的链接便可在已登录用户的浏览器中运行脚本。该漏洞的 CVSS 评分为 6.1。

受影响的版本

debug.pl 注入、SQL 注入和 XSS 漏洞影响早于 8.0.4.22 的构建版本。与此同时，硬编码凭据漏洞影响早于 8.0.4.26 的构建版本。9000 端口注入漏洞则影响早于 8.0.4.29 的构建版本。硬件设备和虚拟机版本均存在这些漏洞。

补丁与缓解措施

StoneFly 建议升级至 Storage Concentrator 8.0.4.29 或更高版本。因此，请立即应用该版本。在完成修补之前，请勿将设备暴露于公共互联网，同时限制对 Web 管理界面和 TCP 9000 端口的访问。最后，请轮换更新配置文件可能已暴露的所有凭据，并留意设备日志中是否有被滥用的迹象。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《StoneFly 存储集中器漏洞可导致未经身份验证的 root 访问》