一、 漏洞 CVE-2026-1064 基础信息
漏洞信息
# Bastillion Ktrl.java 命令注入漏洞
## 概述
bastillion-io Bastillion 在 4.0.1 及以下版本中存在命令注入漏洞，位于 `src/main/java/io/bastillion/manage/control/SystemKtrl.java` 文件，属于系统管理模块。攻击者可远程利用该漏洞执行任意命令。
## 影响版本
bastillion-io Bastillion ≤ 4.0.1
## 细节
漏洞位于系统管理模块的 `SystemKtrl.java` 文件中，对某些输入的处理未进行充分验证或过滤，导致攻击者通过构造恶意请求实现命令注入。
## 影响
- 攻击者可远程执行任意系统命令
- 漏洞利用代码已公开
- 供应商未对披露做出响应
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
bastillion-io Bastillion System Management SystemKtrl.java command injection
来源：美国国家漏洞数据库 NVD
漏洞描述信息
A vulnerability was found in bastillion-io Bastillion up to 4.0.1. This issue affects some unknown processing of the file src/main/java/io/bastillion/manage/control/SystemKtrl.java of the component System Management Module. Performing a manipulation results in command injection. The attack can be initiated remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L
来源：美国国家漏洞数据库 NVD
漏洞类别
在命令中使用的特殊元素转义处理不恰当(命令注入)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-1064 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2026-1064 的情报信息
标题： public_exp/archives/Bastillion/report2.md at main · AnalogyC0de/public_exp · GitHub -- 🔗来源链接
标签：exploit
神龙速读：### 漏洞关键信息 #### I. 漏洞概述 - **漏洞类型**: 命令注入（通过授权密钥路径） - **影响模块**: 系统管理模块 - **影响用户**: 具有系统创建或编辑权限的已验证用户 - **攻击方式**: 通过操作 `authorized_keys` 路径参数注入恶意命令 - **执行环境**: 远程系统在SSH密钥分发操作时执行 #### II. 漏洞影响 - **执行任意命令**: 攻击者可以在应用管理的所有系统上执行任意shell命令 - **修改或删除文件**: 修改或删除关键系统文件 - **数据泄漏**: 从管理的系统中泄漏敏感数据 - **权限提升**: 在目标主机上提升权限 - **SSH认证机制妥协**: 妥协SSH认证机制的完整性 #### III. 影响范围 - **影响文件**: - `src/main/java/io/bastillion/manage/control/SystemKtrl.java` - 系统创建和编辑 - `src/main/java/io/bastillion/manage/db/SystemDB.java` - 系统存储和检索 - `src/main/java/io/bastillion/manage/util/SSHUtil.java` - SSH密钥管理操作 - **影响版本**: 允许系统管理功能的所有版本 #### IV. 利用条件 1. **认证**: 攻击者必须是具有系统创建或编辑权限的已认证用户 2. **访问**: 攻击者必须能访问系统管理接口 (`/manage/saveSystem`) 3. **触发**: 在应用执行SSH密钥分发操作时，恶意命令被执行 #### V. 漏洞分析 1. **根本原因**: 缺少路径参数 `authorized_keys` 的验证和安全处理，命令直接拼接用户控制路径 2. **攻击向量**: 攻击者通过创建或编辑带有恶意 `authorized_keys` 路径的系统，应用在SSH密钥分发过程中执行该路径 #### VI. 建议 1. **验证和清理路径**: 确保路径中的字符合法且路径限定在安全位置 2. **避免命令拼接**: 使用参数化命令或安全API，避免直接拼接用户输入 3. **使用安全文件操作**: 避免使用shell命令直接操作文件，使用SSH客户端API来管理授权密钥文件 4. **最小权限原则**: 限制系统创建和编辑权限，定期审核用户权限
标题： Login required -- 🔗来源链接
标签：signaturepermissions-required
神龙速读：### 漏洞关键信息 - **漏洞编号**: VDB-341632, CVE-2026-1064, EUVD-2026-3129 - **漏洞描述**: Bastillion-IO Bastillion up to 4.0.1 system management systemktrl.java command injection - **访问限制**: 需要登录，才能查看详细信息。 需要登录说明此页面可能包含敏感信息，如漏洞详细描述、影响范围、修复建议等。建议获取或创建账户登录查看详细信息。
- https://vuldb.com/?submit.731308third-party-advisory
标题： CVE-2026-1064 bastillion-io Bastillion System Management SystemKtrl.java command injection (EUVD-2026-3129) -- 🔗来源链接
标签：vdb-entry
神龙速读：### 漏洞关键信息 - **漏洞编号**: CVE-2026-1064, EUVD-2026-3129 - **受影响软件**: bastillion-io Bastillion up to 4.0.1 - **漏洞类型**: System Management SystemKtrI.java Command Injection - **漏洞分类**: Critical - **影响**: 命令注入漏洞影响文件 src/main/java/io/bastillion/manage/control/SystemKtrI.java 中的未知函数 - **利用方式**: 远程可利用 - **利用条件**: 需要上游组件的外部影响输入，但不中和或不正确中和特殊元素，导致下游组件的命令被修改 - **CVE编号**: CVE-2026-1064 - **CWE编号**: CWE-77 - **影响的三要素**: 机密性、完整性、可用性 - **利用难度**: 易于利用 - **认证要求**: 成功利用需要额外的认证级别 - **技术细节**: 技术细节和公开利用已知 - **MITRE ATT&CK攻击技术**: T1202 - **利用代码**: 可在GitHub上获取，作为概念验证 - **厂商响应**: 早期联系了厂商，但未作出回应
- https://nvd.nist.gov/vuln/detail/CVE-2026-1064
四、漏洞 CVE-2026-1064 的评论
暂无评论