CVE-2025-56117CVE-2025-56117是锐捷网络（Ruijie Networks）生产的X30-PRO路由器中存在的一个严重的操作系统命令注入漏洞。该漏洞位于路由器的Web管理界面模块中，具体存在于文件/usr/local/lua/dev_sta/nbr_cwmp.lua的module_set功能处。攻击者可以通过构造恶意的POST请求，在未经充分验证的情况下将任意操作系统命令注入到底层系统执行。由于该漏洞的CVSS评分达到8.8，属于高危级别，且攻击向量为网络可达，认证要求较低（低权限用户即可利用），因此对暴露在网络中的锐捷X30-PRO设备构成严重威胁。攻击成功后，攻击者可以完全控制受影响的路由器设备，执行任意系统命令，可能导致数据泄露、恶意固件植入、网络流量劫持或进一步横向渗透到内网其他系统。此漏洞无需用户交互即可实现攻击，这大大降低了攻击者的利用门槛。该漏洞由[email protected]于2025年12月11日披露，漏洞类型为命令注入（Command Injection），影响设备的机密性、完整性和可用性均为高影响级别。
该漏洞的根本原因在于锐捷X30-PRO路由器的Lua脚本模块在处理用户输入时缺乏有效的输入验证和安全过滤机制。具体来说，问题出现在/usr/local/lua/dev_sta/nbr_cwmp.lua文件中的module_set函数。当Web管理界面接收用户提交的POST请求参数时，程序直接将用户可控的参数值传递给系统命令执行函数，而未对特殊字符（如分号、管道符、反引号等）进行过滤或转义处理。攻击者可以利用这一缺陷，在POST请求的module_set参数中注入任意操作系统命令。例如，通过在参数值中插入分号后跟其他系统命令（如ls、cat、wget等），攻击者可以在路由器上执行任意代码。由于该功能位于路由器的管理接口，攻击者需要具有低权限账户或通过其他方式获得访问权限即可发起攻击。攻击成功后，攻击者以路由器的运行权限（通常是root权限）执行命令，从而完全控制设备。攻击者可能利用此漏洞读取敏感配置文件、植入后门程序、修改路由表或进一步利用路由器作为跳板攻击内网中的其他设备。修复此漏洞需要对用户输入进行严格的参数化处理或使用安全的API来避免命令注入。