(10分) CVE-2026-105134：AhsayCBS备份服务未授权RCE

红队安全圈
红队安全圈

红队安全圈

2026年10月5日 20:13
重庆

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

CVSS 满分的未授权 RCE，打的是企业备份服务器——全网数据最终副本所在的那台机器。

01  引言

Ahsay Backup Software 的 AhsayCBS（Ahsay Cloud Backup Suite）是企业里很常见的集中式备份平台，中小 MSP 和企业自建机房用得不少。刚披露的 CVE-2026-105134 直接给到 CVSS 3.1 满分 10.0（CVSS 4.0 评 9.3），复制接收组件（Replication Receiver）里的 OS 命令注入，无需认证、远程可直接打，利用代码已经公开。备份服务器往往存着全网最完整的数据快照，这台机器一旦沦陷，等于整个内网的最终副本拱手让人——这篇把成因、影响、检测和修复一次讲清。

02  漏洞速览

漏洞编号CVE-2026-105134

影响产品AhsayCBS ≤ 10.3.2

漏洞类型OS 命令注入（未授权）

危害等级CRITICAL（CVSS 10.0）

攻击前提网络可达接口即可

公开利用已公开，可使用

修复版本AhsayCBS 10.3.4

03  漏洞成因

问题出在 AhsayCBS 的 Replication Receiver 组件。AhsayCBS 支持把一台备份服务器的数据复制到另一台做容灾，接收端有一个专门的复制 API 入口，就是 /rps/api/json/UpdateReceivers.do。

这个接口在处理请求参数时，对 random 这个参数的值没有做任何过滤和校验，直接拼进了服务器侧的系统命令里执行。也就是说，只要攻击者能访问到这个接口，把 random 参数构造成带命令分隔符的 payload（比如追加 ; id、&& whoami 这类形式），命令就会在备份服务器上以服务进程的权限执行。

更糟的是这是一个未授权接口：CVSS 3.1 向量 AV:N/AC:L/PR:N/UI:N 明确标注——网络可达、攻击复杂度低、不需要任何权限、不需要用户交互，加上 Scope 是 Changed（子系统被影响），最终算出满分 10.0。威胁情报侧标注利用成熟度为 PROOF\_OF\_CONCEPT，利用代码已公开、可直接使用。

04  影响范围

受影响版本：AhsayCBS ≤ 10.3.2，更早的 10.x 及部分 legacy 版本同样存在该组件。已修复版本：AhsayCBS 10.3.4（2026-08-05 发布）。

官方 v10.3.4 的 Release Notes 里没有把这条安全修复单独列出来，只在 Bug Fixes 里带过，所以即使你看过更新说明也未必意识到里面有安全修复——这也是很多备份软件安全更新的通病，升级说明不标注，只能靠漏洞库同步。

05  危害推演

利用代码已公开，这里不贴完整利用细节，按成因推演一下攻击路径：

第一步：用 fofa、zoomeye、Censys 之类空间测绘引擎，按 AhsayCBS 的页面特征批量找暴露在公网的备份服务器；

第二步：对目标直接请求 UpdateReceivers.do 接口，在 random 参数里带上注入 payload；

第三步：服务端命令执行成功后，用反弹 shell 或计划任务、公钥写入等常规手段拿稳定控制权；

第四步：备份服务器上有全部客户端的备份数据、明文或可解密的凭据存储，横向跳到内网核心区只是时间问题。

备份系统的真实杀伤力在于：很多公司对备份服务器重保护轻加固，觉得它是最后一道防线，结果它自己跑着一个没认证的命令执行洞。攻击者拿到它之后，不仅可以读取所有历史备份（含数据库 dump、文件服务器镜像），还可以篡改或加密备份集——勒索团伙最喜欢的先毁备份再加密路线，从这里就能打通。

06  检测与排查

先确认版本：登录 AhsayCBS 管理界面看版本号，低于 10.3.4 都在射程内。再探测接口是否存在（无认证返回即可初步判断）：

无认证探测接口是否存在

curl -sk \"https://target/rps/api

/json/UpdateReceivers.do\"

返回非 401/403 需警惕

如果暴露公网且版本未修复，按已被入侵处理：查系统日志里的异常命令执行记录、异常用户、crontab、计划任务和 SSH authorized\_keys，备份服务进程的权限不高但也不低，别当它没事。

07  修复建议

升级到 AhsayCBS 10.3.4 或更高版本（官方已发布修复）。

升级前，务必先把 /rps/ 路径从公网下线：防火墙或 WAF 只允许复制对端服务器的 IP 访问该接口，Replication Receiver 本来就不该暴露给互联网。

临时缓解：如无法立即升级，直接关闭 RPS 复制功能，或对 UpdateReceivers.do 接口做访问控制。

08  红队视角

这个洞在实战里属于高价值低门槛型目标：

测绘定位：AhsayCBS 的登录页和响应头特征明显，shodan、fofa 一搜一大把，MSP 行业的集中部署让单一 payload 能打一片；

价值密度高：备份服务器里有全客户的数据副本，外加大量备份任务的存储凭据（S3 key、SMB 账号、数据库连接串），拿下等于拿到进入所有下游资产的钥匙；

注意合规：利用代码公开不代表可以打，未授权测试属于违法行为。自己环境里验证、授权项目里复现，检测脚本随手写一个就够了。

这也是提醒：做渗透评估的时候，别只盯着业务系统，备份和日志这类辅助设施经常是防线上最薄弱的一环。

09  POC 链接

https://vuldb.com/vuln/413351

https://nvd.nist.gov/vuln/detail/CVE-2026-105134

说明：利用已公开（PROOF\_OF\_CONCEPT，见漏洞库标注），升级 10.3.4 修复。

如果文章对您有收获，欢迎关注、点赞、推荐、转发。

— END —