2026-10-16 12:57:41 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

(7.3分) CVE-2026-105133：AhsayCBS备份服务器认证绕过组合RCE

红队安全圈
红队安全圈

红队安全圈

2026年10月15日 08:15
重庆

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

AhsayCBS 备份服务器认证绕过链式 RCE，无认证直接拿 SYSTEM/root，已在野利用。

AhsayCBS 是一款企业级本地备份服务器软件，漏洞影响 10.3.2 及更早版本。CVE-2026-105133 是 API 层认证绕过（CVSS 7.3），CVE-2026-105134 是复制接收器里的路径穿越写文件（CVSS 10.0）。两个洞链起来就是无认证直接拿 SYSTEM/root 权限的 webshell，10 月 7 日起已有多个组织被实测攻击，落地载荷是 JSP webshell 加 XMRig 挖矿。跑 Ahsay 备份的机器现在就该查。

01 漏洞速览

漏洞编号CVE-2026-105133 / CVE-2026-105134

影响产品AhsayCBS ≤ 10.3.2（Win / Linux）

漏洞类型认证绕过 + 路径穿越写文件 RCE

危害等级7.3 / 10.0（NVD 评分）

攻击前提无认证无交互，网络可达即可

在野利用已确认，10 月 7 日起多组织受害

公开 PoC有（文末附链接）

影响面一句话：无认证链式打穿备份服务器，备份里通常是全网最敏感的数据。

02 漏洞成因

105133 出在 API 的公共基类 JSONApi.execute()。每个 .do 接口都继承这个基类，凭据校验 checkSysPwd() 只在三个布尔值全为 false 时才执行。其中 FromServlet 标志直接从攻击者可控的 JSON 请求体里读——请求里塞一个 \"FromServlet\":\"Y\"，凭据校验整段跳过，整个 API 变成无认证状态。

105134 出在复制接收器（Replication Receiver）。认证绕过后调 UpdateReceivers.do（Id=0）可以新建一个接收器，登录名、密码、SystemHome 全由攻击者定。上传文件走 FileService，目标目录由 UserHome 和 TopDir 两个请求头拼接而成。拼接函数只转义 % 和 : 两个字符，../ 原样放行，而且这条路径不经过 SystemHome 时的系统目录黑名单。UserHome 填 ../../webapps/rps，写目录直接穿进 Tomcat 应用目录，PUT 一个 .jsp 就是 webshell。Windows 上 AhsayCBS 服务跑 LocalSystem，Linux 上跑 root，webshell 一执行就是最高权限。

两洞的本质是同一个坏习惯：信任请求参数。一个把权限开关交给请求体，一个把写路径交给请求头，黑名单只挡了半程。

03 影响范围

受影响：AhsayCBS 10.3.0 / 10.3.1 / 10.3.2。已修复：10.3.4 及 2026-10-12 官方补丁。备份服务器几乎都直接暴露在内网甚至公网，受害面覆盖所有未升级实例。

04 利用分析

完整利用链已公开，Horizon3 验证过全流程：

发 API 请求带上 FromServlet 字段，绕过认证（一个请求确认）
调 AddSysUser 无认证创建系统管理员账号
调 UpdateReceivers.do（Id=0）新建接收器，SystemHome 指向 /opt/AhsayCBS/rpsrecv\_x 这类可写目录
向 /rps/obs7/rpsfile PUT 文件，UserHome 填 ../../webapps/rps 穿越到 web 目录
请求写入的 .jsp，命令以 SYSTEM（Windows）或 root（Linux）执行
实战载荷：JSP webshell 持久化 + XMRig 挖矿，也完全具备投递勒索的条件

05 检测与排查

日志侧排查，两个关键字段是硬指标：

grep -ri FromServlet \

grep -r X-RSW-Request \

<访问日志目录>

主机侧排查：

cbssvcX64.exe（Windows）或 CBS JVM（Linux）派生的可疑子进程：cmd、curl、certutil、挖矿；webapps/rps、webapps/cbs 下新增 .jsp 文件，尤其是带特定参数才返回 200 否则 404 的；非变更窗口新建的复制接收器；不认识的管理员账号和异常来源的 API 登录记录。

06 修复建议

立即升级到 AhsayCBS 10.3.4 或安装 2026-10-12 官方补丁。升级前先把服务从公网摘下来，只留内网必需访问。升级后按上文检测项做一次完整排查；发现 webshell 或新增账号按已失陷处理，轮换全部凭据。

升级验证：带 FromServlet 的请求应返回认证失败，不再跳过校验。

07 红队视角

这是今年链式利用的教科书样本：认证绕过 CVE 本身只有 7.3 分，单看是个中危；但它是 105134 的开门钥匙，合体之后是无前置、无交互、直接 SYSTEM/root 的满贯 RCE。备份服务器是红队眼里的黄金目标——里面躺着全网的文件副本和凭据，拿下它等于一条路走到域控或核心数据库。企业侧的教训：备份系统同样按核心资产管，公网暴露面清单里别漏了它。打完补丁也别急着收工，先查 webshell，Huntress 观察到的攻击从 10 月 7 日就开始了，窗口期足够对手站稳。