安全研究公司 TantoSec 近期揭露了一組針對 Telerik UI for ASP.NET AJAX 的漏洞攻擊鏈，該漏洞鏈允許未經身分驗證的攻擊者在伺服器上執行任意程式碼（Remote Code Execution, RCE）。儘管軟體供應商 Progress Software 已於 2026 年 7 月發布修補程式，但 TantoSec 在 9 月公開了完整的攻擊路徑、詳細分析以及可直接運行的漏洞利用工具 telerik-rau-exploit，這使得該攻擊路徑首次被完全公開。
背景與漏洞成因
此次受影響的核心組件是 RadAsyncUpload，這是一個用於處理檔案上傳的控制項。該漏洞鏈的核心在於 Telerik UI 在處理客戶端狀態時，使用了 AES-CBC 模式的加密方式，但缺乏完整性檢查。
在密碼學中，AES-CBC 是一種常見的對稱加密模式，但如果實作不當，會產生 Padding Oracle（填充預言機）漏洞。簡單來說，當伺服器解密數據時，如果填充格式錯誤，伺服器會回傳一種錯誤；如果填充正確但數據內容無法解析（例如不是有效的 JSON 格式），則回傳另一種錯誤。攻擊者可以利用這兩種不同的回應差異，像是在玩「猜謎遊戲」一樣，透過大量發送微小變動的請求，逐步推導出加密數據的明文，甚至在不需要知道加密金鑰的情況下，偽造出伺服器認可的加密數據。
攻擊路徑的運作方式
這場攻擊並非單一漏洞造成，而是由多個漏洞串聯而成的鏈條。首先，攻擊者利用 CVE-2026-13182（Padding Oracle 漏洞）來解密並偽造上傳設定。由於 Telerik UI 的加密種子（Seed）是固定的，攻擊者可以以此為基礎，構造出一個看似合法的加密設定檔。
接著，攻擊者進入第二階段，利用 CVE-2026-13181。這是一個類型解析漏洞（Type-Resolution Flaw），指系統在將接收到的數據轉換為 .NET 物件時，沒有使用允許清單（Allowlist）來限制可解析的類型。攻擊者可以在偽造的設定檔中指定一個任意的 .NET 類型，誘導系統將其反序列化（Deserialization）為一個惡意元件（Gadget），進而觸發從攻擊者控制的位址載入 DLL 檔案。
最後，攻擊者上傳一個混合模式（Mixed-mode）的 DLL 檔案。這種 DLL 結合了受管理程式碼與原生機器碼，一旦被載入記憶體，便會立即執行原生指令。TantoSec 提供了兩種載荷（Payload）：一種是在磁碟上寫入 Web Shell 以獲取持久控制權，另一種則是完全在記憶體中執行，以降低被偵測的機率。
實務限制與觸發條件
值得注意的是，這組漏洞並非在所有安裝 Telerik UI 的環境中都能觸發。它需要滿足特定的非預設配置（Non-default configuration）： 第一，頁面必須渲染 RadAsyncUpload 控制項，且伺服器端處理程序必須讀取上傳結果。 第二，應用程式必須配置了顯式的、非預設的加密金鑰。諷刺的是，設定自定義金鑰原本是 Telerik 建議的安全性強化措施，但在這個特定漏洞鏈中，反而成了觸發條件。
此外，這種攻擊方式效率較低。由於需要透過 Padding Oracle 進行大量推導，TantoSec 在實驗環境中約需發送 127,000 次請求，耗時約一小時。如果伺服器有設置速率限制（Rate-limiting），攻擊時間將大幅增加。即便伺服器隱藏了詳細錯誤訊息，攻擊者仍可透過 CVE-2026-13183 利用回應時間的微小差異（Timing Oracle）來完成攻擊。
影響與防禦建議
一旦攻擊成功，攻擊者將獲得與 IIS 應用程式集區（Application Pool）相同的權限，足以控制 Web 伺服器。雖然目前尚未有大規模在野外利用的報告，但 RadAsyncUpload 過去曾有過類似的嚴重漏洞（如 2019 年的 CVE-2019-18935），曾被勒索軟體組織與國家級駭客利用，因此此類漏洞具有極高的威脅潛力。
針對此問題，Progress Software 的官方建議是立即升級至 2026.2.708 或更高版本。新版本將 AES-CBC 替換為認證加密（Authenticated Encryption），從根本上消除了 Padding Oracle 的可能性。
對於無法立即升級的系統，可採取以下緩解措施： 將 customErrors 設置為 RemoteOnly 或 On，強制攻擊者使用速度極慢的時間分析法。 若不需要上傳功能，直接禁用 AsyncUpload 處理程序。 移除自定義加密金鑰，讓系統回退到使用 ASP.NET 機器金鑰（Machine Key），其內建的 HMAC 機制可防止數據被偽造。
由於此攻擊在標準 ASP.NET 錯誤日誌中不會留下明顯痕跡，防禦者應採取行為監控（Behavioral Hunting），例如監控 IIS 工作進程（w3wp.exe）是否異常啟動 cmd.exe，或檢查 Web 根目錄是否出現未知的 .aspx 檔案，以及上傳暫存資料夾中是否出現可疑的 DLL 檔案。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。