StoneFly 存储集中器漏洞可导致未经身份验证的 root 访问

sec随谈
sec随谈

sec随谈

2026年7月3日 09:42
北京

在小说阅读器读本章

去阅读

摘要

CISA 于 2026 年 6 月 30 日发布了一份针对五个 StoneFly Storage Concentrator（存储集中器）漏洞的公告。其中两个的 CVSS 评分达到满分 10.0，均可让未经身份验证的攻击者以 root 身份运行命令。目前尚未确认存在野外利用行为。

为何值得关注

Storage Concentrator 负责管理企业存储与数据复制，因此它处于数据基础设施的深层位置。CISA 将受影响的设备与能源、医疗、金融和国防等行业关联起来。许多运营方将这些设备部署在 SCADA 历史数据库（historian）和备份存储的后端。此处一旦发生 root 级别的入侵，便会使存储的数据和相连的系统面临暴露。攻击者可能擦除备份、植入勒索软件，或在网络中横向渗透。因此，这些 StoneFly Storage Concentrator 漏洞分量十足。

攻击如何运作

未经身份验证的命令注入

CVE-2026-56413 位于监听 TCP 9000 端口的 ms\_service.pl 服务中。它在接受网络数据包时未进行适当的净化处理。因此，远程攻击者只需一个精心构造的数据包便可运行 root 命令。CVE-2026-56415 则位于 debug.pl 脚本中，且无需登录。向该处发送一个恶意的 HTTP 请求，同样可实现 root 命令执行。这两个漏洞均获得了满分 10.0。

SQL 注入与机密窃取

CVE-2026-55721 滥用 login.pl 和 debug.pl 脚本中的 Cookie 值。代码会将这些值直接放入数据库查询中。结果，未经身份验证的攻击者可以提取会话令牌、密码哈希和密钥。这些被窃取的机密随后便可解锁更深层的访问权限。该漏洞的 CVSS 评分为 9.3。

硬编码凭据

CVE-2026-50110 暴露了某个配置文件中的硬编码凭据。这些值虽经过编码，但编码可被逆向还原为明文。它们涵盖数据库、授权许可、数据复制以及第三方账户的凭据。因此，单个泄露的文件便可串联渗透至多个系统。该漏洞的 CVSS 评分为 9.2。

反射型 XSS

CVE-2026-50040 会在 404 错误页面上回显未经净化的输入。因此，一个精心构造的链接便可在已登录用户的浏览器中运行脚本。该漏洞的 CVSS 评分为 6.1。

受影响的版本

debug.pl 注入、SQL 注入和 XSS 漏洞影响早于 8.0.4.22 的构建版本。与此同时，硬编码凭据漏洞影响早于 8.0.4.26 的构建版本。9000 端口注入漏洞则影响早于 8.0.4.29 的构建版本。硬件设备和虚拟机版本均存在这些漏洞。

补丁与缓解措施

StoneFly 建议升级至 Storage Concentrator 8.0.4.29 或更高版本。因此，请立即应用该版本。在完成修补之前，请勿将设备暴露于公共互联网，同时限制对 Web 管理界面和 TCP 9000 端口的访问。最后，请轮换更新配置文件可能已暴露的所有凭据，并留意设备日志中是否有被滥用的迹象。