文章总结： CVE-2025-66848暴露京东云多款路由器存在未授权远程命令执行，攻击者先通过/api/joylink泄露MAC与feedid，用MD5计算管理令牌重置密码，再借DDNS参数注入获取root，可完全控制网络；受影响型号含AX1800/Pro、AX3000、AX6600、BE6500、ER1/2等旧固件，官方尚未发布补丁，用户需立即检查更新并限制外网访问以降低风险
综合评分： 92
文章分类： 漏洞预警,路由器安全,远程执行,威胁情报,网络安全
CVE-2025-66848：京东云路由器存在严重漏洞，黑客可获取root权限
sec随谈
sec随谈
2026年1月5日 08:39
中国香港
京东云旗下热门NAS路由器产品线被发现存在安全漏洞， 可能使成千上万的家庭和企业网络面临攻击风险。该漏洞影响京东云的多款路由器型号，允许远程攻击者完全绕过身份验证，并以最高权限执行任意命令。
该漏洞的编号为 CVE-2025-66848，CVSS 评分为 9.8，属于严重级别，该评分仅用于最危险、最容易被利用的漏洞。
该攻击链是教科书式的例子，说明了少量信息泄露如何导致整个系统被攻破。
根据漏洞报告，该问题始于一个不安全的 API 接口 (/api/joylink)，该接口会泄露敏感的设备信息——特别是路由器的 MAC 地址和一个名为 feedid 的唯一标识符。
有了这些泄露的数据，攻击者可以使用已知的哈希算法（MD5）进行相对简单的计算，从而生成有效的管理令牌。
分析解释说：“此令牌允许绕过身份验证，从而可以使用相关 API 修改远程设备的系统密码。”
一旦攻击者重置密码并登录，情况就会急转直下。该报告详细描述了他们如何利用设备动态域名解析服务中的二级命令注入漏洞。
攻击者通过向路由器发送精心构造的请求（将恶意载荷注入 ddns_name 字段），可以迫使路由器打开到其自身服务器的后门连接。
结果如何？“最终，攻击者能够获得远程目标设备的 root 权限”，从而使他们能够监视网络流量、安装恶意软件或攻击本地网络上的其他设备。
该漏洞会影响运行旧版固件的各种京东云NAS路由器：
- AX1800（v4.3.1.r4308 及更早版本）
- AX1800 Pro（v4.5.1.r4533 及更早版本）
- AX3000（v4.3.1.r4318 及更早版本）
- AX6600（v4.5.1.r4533 及更早版本）
- BE6500（v4.4.1.r4308 及更早版本）
- ER1 / ER2（v4.5.1.r4518 及更早版本）。
拥有这些设备的用户应立即检查固件更新，以防止潜在的入侵者。
参考链接：
https://www.notion.so/JD-Cloud-Unauth-RCE-2d22b76e8e0c802c975bf186b208d0c2
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：sec随谈 sec随谈《CVE-2025-66848：京东云路由器存在严重漏洞，黑客可获取root权限》