Rejetto HFS爆嚴重身分驗證漏洞遭在野利用 為 Anthropic模型發現個案
發布時間:
開源 Web檔案伺服器 Rejetto HTTP檔案伺服器（HFS）日前傳出嚴重身分驗證繞過漏洞（CVE-2026-61500），攻擊者可能藉此取得完全管理員權限並遠端執行程式碼（RCE）。在資安研究員公開展示攻擊概念影片的隔天，該漏洞便遭到外部攻擊者鎖定並在野利用；Rejetto官方目前已釋出 v3.2.1及更高版本修復這項缺陷。
該漏洞最初由人工智慧滲透測試公司 Horizon3研究員 Zach Hanley發現，使用的輔助工具為 Anthropic旗下尚未對大眾公開的 Mythos漏洞挖掘模型。Anthropic於4月啟動「Project Glasswing」專案，向特定夥伴提供該模型，Horizon3則於7月加入。VulnCheck資安研究員 Patrick Garrity指出，截至週五為止，該專案與 Mythos已累積找出286個 CVE漏洞，而本次事件是其中第二起在真實環境中遭到攻擊者利用的案例。
VulnCheck的預警系統於週四晚間首度偵測到針對 CVE-2026-61500的攻擊行動。Garrity表示，最初的攻擊源自中國的 IP位址，鎖定部署於美國與日本境內的易受害主機；隨後他在接受資安媒體《The Register》訪問時補充，週五又偵測到四次攻擊，來自同一個子網路內的兩個美國 IP位址（173.239.211[.]248與173.239.211[.]249），研判似乎是透過代理伺服器發動，目前尚未斷定具體威脅群體身分。
從技術成因來看，HFS使用 JavaScript內建的 Math.random()產生隨機值，並傳遞給 Node.js Web框架 Koa以 keygrip對所有會話 cookie進行簽章。然而，V8引擎的 Math.random()採用不安全的 xorshift128+偽隨機數產生器（PRNG），演算法輸出完全可逆，加上應用程式另一處程式碼路徑洩漏了隨機數輸出，Mythos模型分析因而指出，攻擊者可藉由微軟開發的 SMT求解器 Z3還原 PRNG種子，推導出簽章金鑰並偽造有效會話 cookie以繞過身分驗證。
Rejetto HFS先前曾於2024年被美國網路安全和基礎設施安全局（CISA）列入已知已利用漏洞目錄。隨著展示影片發布後迅速出現真實攻擊活動，管理者須注意即時檢查伺服器環境並升級至最新修復版本。