返回技術公告
資安通知嚴重程度重大CVSS9.8

LibreNMS REST API 驗證繞過漏洞，請更新至 26.8.0 以上

LibreNMS

LibreNMS 26.8.0 之前的版本，REST API 在比對 API token 時有型別處理問題，未經驗證的攻擊者只要送出簡單的數字即可冒用系統中既有的 API token。攻擊者可藉此讀取設備清單及其 SNMP 憑證（community、authpass、privpass）；若冒用到的是管理員的 token，還可進一步在 LibreNMS 主機上執行程式。只要系統中存在至少一組啟用中的 API token 即受影響。

影響版本

  • LibreNMS 26.7.0 及更早版本（系統中至少存在一組啟用中的 API token）

已修正版本

  • LibreNMS 26.8.0（2026-08-17 發布）及之後版本

建議處理方式

  1. 將 LibreNMS 更新至最新穩定版本（截至 2026-11-04 為 26.10.2）；26.9.0 另修正 LDAP 篩選注入漏洞（CVSS 8.1，使用 ldap-authorization / ad-authorization 且網頁伺服器未正確傳遞 REMOTE_USER 時可取得管理員權限），建議一併更新
  2. 一般安裝可依官方文件以 librenms 帳號在安裝目錄執行 ./daily.sh 更新；Docker 部署請改用新版 librenms/librenms 映像檔
  3. 更新後檢視 API 權杖清單，刪除不再使用的權杖；若懷疑已遭利用，應更換 LibreNMS 內儲存的 SNMP 憑證

暫時無法更新時

  • 暫時無法更新者，可依原廠所述利用條件停用全部 API 權杖，並限制管理介面與 /api/v0 只允許內部管理網段存取；此為依漏洞條件提出的暫時措施，非原廠明列，停用權杖會中斷既有 API 整合

如何確認是否受影響

  • 於 LibreNMS 網頁介面「About」頁面查看版本，或在安裝目錄執行 ./validate.php；低於 26.8.0 且系統中至少有一組啟用中的 API 權杖即受影響
  • 於設定選單（齒輪圖示）→ API Settings → API Access（或 /api-access/ 頁面）確認 API 權杖狀態

參考來源

LibreNMS GitHub Security Advisory GHSA-cvq8-gqfq-3mvg：API auth bypassgithub.comNVD：CVE-2026-86426nvd.nist.govLibreNMS 26.8.0 Release Notesgithub.comLibreNMS 文件：APIdocs.librenms.orgLibreNMS GitHub Security Advisory GHSA-7cmx-65c5-8h8v：LDAP Filter Injectiongithub.comLibreNMS 文件：Updatingdocs.librenms.orgCISA Known Exploited Vulnerabilities Catalog（官方資料集）www.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告