CVE-2026-61500 Rejetto HFS认证绕过

资讯专家

漏洞概述
VulnCheck 警告，攻击者正在利用 Rejetto HTTP File Server（HFS）的严重漏洞 CVE-2026-61500（CVSS 9.3）绕过认证并实现远程代码执行（RCE）。该漏洞源于 Rejetto HFS 在登录过程中向未认证客户端泄露其非加密 session cookie 生成器的输出，同时 session-cookie 签名密钥也由同一个生成器派生。

利用链
攻击者可以收集少量登录响应，重构生成器状态并恢复 session-cookie 签名密钥。获得密钥后，攻击者可伪造有效的管理员 session cookie，取得服务器高权限，并通过 server_code 配置功能执行远程代码。
技术根因是 Rejetto HFS 使用 Math.random() 生成“随机”值，再交给 Node.js Web 框架 Koa 用于签名 session cookie。Math.random() 底层使用的 xorshift128+ 算法输出可逆。Horizon3 在技术报告中指出，攻击者若能收集其他由 Math.random() 生成的数字，就能推断其他生成值并伪造认证 cookie。

发现与修复
Horizon3.ai 研究人员使用 Anthropic 的 Mythos AI 模型发现该缺陷。该模型通过高级数学推理识别出 Math.random() PRNG 的输出可被逆向，从而可用于重构 secret session-cookie 签名密钥。Horizon3 于 2026 年 6 月发现该弱点，Rejetto HFS 3.2.1 于 2026 年 7 月 13 日发布并包含必要补丁。
Rejetto 在公告中表示，此前所有版本均存在多个安全问题，可能允许攻击者获得 HFS 的管理访问权限。建议使用 Rejetto HFS 的用户升级到 3.2.1 或更高版本，并审查 HFS 的暴露面和认证日志。

在野情况
2026 年 10 月 2 日，VulnCheck 警告称攻击者已开始针对 CVE-2026-61500 进行小规模侦察，来源为一个中国电信 IP。相关尝试命中了位于日本和美国的 canaries（蜜罐/探测节点）。目前原文描述为小规模侦察，未说明已大规模传播。