Progress Kemp LoadMaster 遠端指令執行漏洞分析
對於許多企業來說，LoadMaster 扮演著 Application Delivery Controller（應用程式傳遞控制器）與 Load Balancer（負載平衡器）的角色。簡單來說，它就像是進入內部網路的門衛，負責將流量分發到後端伺服器。由於它部署在網路邊緣，任何能讓攻擊者在不需要身分驗證的情況下取得權限的漏洞，都會變成極其危險的入口。
近期發現的 CVE-2026-8037 漏洞正是如此。這個漏洞允許未經認證的攻擊者透過發送精心構造的 API 請求，直接以 root 最高權限在設備上執行任意指令。其 CVSS 評分高達 9.8 分，屬於極高風險等級。
漏洞的核心原因：記憶體管理疏失
這次漏洞的成因在於一個名為 escape_quotes() 的函式。在開發安全功能時，工程師通常會寫一個過濾函式來處理使用者輸入，防止 Command Injection（指令注入）。指令注入是指攻擊者透過輸入特殊字元（如單引號或分號），企圖跳出原本的指令參數範圍，強行插入自己的惡意指令讓系統執行。
escape_quotes() 的設計目標是將單引號進行轉義（Escape），確保輸入內容被視為純字串而非指令的一部分。然而，該函式在實作上犯了兩個低級但致命的記憶體管理錯誤。
第一，它在分配記憶體緩衝區（Buffer）時，沒有先將該空間清空（Zero-fill）。這意味著新分配的記憶體空間中可能殘留著先前其他程序留下的隨機數據。
第二，它在處理完字串後，忘記在末尾加上 Null Terminator（空終止符，即 \0）。在 C 語言等底層開發中，系統依靠這個終止符來判斷字串在哪裡結束。如果缺少了它，系統在讀取字串時會繼續向後讀取記憶體，直到它在記憶體中偶然遇到一個 \0 為止。
攻擊路徑與實作
攻擊者可以利用上述特性，透過 /accessv2 這個處理 API 憑證驗證的端點發動攻擊。
攻擊者會發送一個 JSON 格式的請求，其中包含一個經過特殊設計的 apiuser 欄位，並在同一個請求中塞入大量額外的鍵值對（Key-Value pairs）。這些額外的數據會被放置在記憶體中緊跟在 apiuser 之後的位置。
當系統呼叫 escape_quotes() 處理 apiuser 時，由於缺乏終止符，系統會將原本經過轉義的輸入與後方殘留在記憶體中的惡意指令連接在一起，將其視為同一個長字串。最終，這串包含惡意指令的內容被傳遞給系統 Shell 執行，導致攻擊者在無需任何帳號密碼的情況下，直接取得 root 權限。
修補方案與工程啟示
Progress 官方釋出的更新版本（GA v7.2.63.2 與 LTSF v7.2.54.18）採取了極其簡單的修補方式，僅修改了兩行代碼：將記憶體分配函式更換為會自動清空的版本，並在輸出字串末尾明確加上 Null Terminator。
這給開發者的啟示是，即使是看似微小的記憶體管理錯誤，在面對 API 這種對外開放的接口時，也可能導致整個系統的崩潰。尤其是處理使用者輸入並將其傳遞給系統指令時，絕對不能依賴單一的過濾函式，而應優先考慮使用參數化查詢或更安全的 API 封裝。
除了 CVE-2026-8037，該設備同時修復了另一個 WAF 繞過漏洞（CVE-2026-33691），攻擊者可利用檔名中的空格填充來規避檔案上傳的副檔名檢查。
實務建議
對於管理 LoadMaster 的工程師，首要任務是立即更新至最新版本。此外，應重新審視 API 的暴露範圍。如果 API 不需要對外開放，應透過防火牆或存取控制清單（ACL）限制其可訪問的來源 IP，減少被掃描與攻擊的風險。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。