OPNsense Root RCE 漏洞(CVE-2026-57155，CVSS 9.9) PoC已公开，建议立即升级！

原创

tuto
tuto

杂杂咱谈

2026年7月10日 08:55
福建

在小说阅读器读本章

去阅读

安全研究人员公开披露了 OPNsense 防火墙高危漏洞 CVE-2026-57155 的完整技术分析及 PoC 代码。该漏洞的 CVSS 评分高达 9.9，攻击者仅需拥有较低权限，即可最终获取 Root 权限并执行任意代码。

目前官方已发布安全更新修复该漏洞，建议所有 OPNsense 用户尽快完成升级。

漏洞概况

漏洞简介

OPNsense 是一款广泛应用于企业、政府机构及家庭网络的开源防火墙系统，承担着网络边界安全防护的重要角色。

此次披露的 CVE-2026-57155 漏洞允许攻击者利用系统中的 GeoIP Alias Importer 功能，通过构造恶意 GeoIP 数据库，实现任意文件写入，并最终获取系统 Root 权限。

由于漏洞利用仅需拥有 Firewall: Alias: Edit 权限，因此不仅低权限运维账号存在风险，一旦该类账号被攻击者窃取，也可能导致整个防火墙设备被完全控制。

更值得关注的是，漏洞的技术细节及 PoC 已全部公开，进一步降低了攻击门槛。

漏洞原理

漏洞位于 GeoIP Alias Importer 功能。

正常情况下，该功能会：

1. 从管理员指定的 URL 下载 GeoIP 国家 IP 数据库；
2. 以 Root 权限解压数据；
3. 根据 CSV 文件中的 country\_code 字段生成输出文件。

然而，该字段未进行有效的输入校验和路径过滤。

攻击者可以构造恶意数据库，使 country\_code 字段包含恶意路径，从而导致系统在 Root 权限 下将攻击者控制的内容写入任意位置。

研究人员进一步将这一任意文件写入漏洞与系统默认的newsyslog定时任务结合，成功实现 Root 权限下的任意代码执行。

此外，该功能允许从任意 URL 下载数据库，不限制来源地址，因此攻击者只需提供一个由自己控制的下载服务器即可完成整个攻击链。

影响版本

以下版本均受到影响：

• OPNsense 26.1.10 及之前版本
• OPNsense 26.4.1 及之前版本

修复版本

官方已修复该漏洞，请尽快升级至以下版本：

• OPNsense 26.1.11
• OPNsense 26.4.1p1

安全建议

建议所有 OPNsense 用户立即采取以下措施：

一、立即升级

尽快升级至官方修复版本：

• OPNsense 26.1.11
• OPNsense 26.4.1p1

目前不存在能够完全缓解该漏洞的临时解决方案，升级是唯一可靠的修复方式。

二、收紧权限管理

遵循最小权限原则，仅向必要人员授予：

• Firewall: Alias: Edit 权限,定期检查权限配置，避免普通运维账号拥有高风险管理权限。

三、检查异常配置

升级完成后建议重点排查：

• GeoIP Alias 配置是否存在异常下载地址；
• 是否存在来源不明的 GeoIP 数据库；
• 是否出现异常系统文件写入记录；
• Root 权限操作日志是否存在异常行为。

四、加强日志监控

持续监控：

• GeoIP 数据库下载行为；
• Alias 配置变更；
• newsyslog 定时任务执行情况；
• Root 权限相关日志。

一旦发现异常，应立即进行调查和处置。

总结

CVE-2026-57155 是一项影响 OPNsense 防火墙的严重漏洞，攻击者仅需拥有 Firewall: Alias: Edit 权限，即可利用 GeoIP Alias 导入功能中的任意文件写入缺陷，实现 Root 权限提升 并最终执行任意代码。

由于漏洞利用 PoC 已公开，攻击门槛显著降低，建议所有受影响用户尽快升级至官方修复版本，并严格控制高权限账户，降低设备被攻陷的风险。

Simple #Root RCE #CVE-2026-57155 #OPNsense