📋 漏洞概述

Yamcs存在StreamSQL聚合编译器中列名未转义导致的Java代码注入漏洞，经认证用户可远程执行任意代码。

📋 基础信息

🔬 漏洞根因

Yamcs 使用 Janino SimpleCompiler 将 StreamSQL 表达式动态编译为 Java，未设置限制性类加载策略或表达式沙箱。当 sum 等聚合函数应用于列时，列名未进行转义或校验便直接拼接进生成的 Java 源码中。而 Yamcs 允许在双引号列标识符中使用任意字符，且创建列时不验证，导致拥有 ControlArchiving 权限的用户可构造恶意列名注入任意 Java 代码。

🎯 攻击场景

1. 前提：攻击者拥有 SystemPrivilege.ControlArchiving 权限，并能访问 Yamcs 的 REST API。 2. 攻击者通过 SQL 或 Yarch 创建一个列，列名包含恶意 Java 代码，例如使用双引号括起的包含分号和调用 Runtime.exec 的字符串。 3. 攻击者向 /api/archive/{instance}:executeSql 发送包含 sum(该恶意列) 的 StreamSQL 查询。 4. 服务端 SelectExpression.compile 调用 CompilableAggregateExpression 和 SumExpression，Janino SimpleCompiler.cook 编译被注入的 Java 源码。 5. 恶意代码在 Yamcs 服务器 JVM 内执行，实现远程代码执行，攻击者获取服务器控制权。

💥 漏洞影响

攻击者可完全控制 Yamcs 服务器进程，读取任务数据、数据库凭据等敏感信息，篡改遥测数据，或发起拒绝服务攻击，导致保密性、完整性和可用性全面受损。由于是普通 Java 执行，JDK 的文件系统、进程执行、反射、类加载等危险 API 均可达。

🛡️ 修复建议

升级 Yamcs 至 5.12.8 或 5.13.2 及以上版本。临时缓解措施：严格控制 ControlArchiving 系统权限的授予，仅限完全可信用户；在网络层限制 /api/archive/{instance}:executeSql 接口的访问来源；对 StreamSQL 查询输入进行严格过滤和校验（如禁止双引号标识符中的危险字符）；使用外部沙箱或容器隔离 Yamcs 服务进程。

📎 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2026-55511
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-55511
• 原始来源（GitHub-Advisory）

🚨 威胁评估

⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-08-31 01:06 | 来源: GitHub-Advisory