Payara 认证绕过漏洞深度剖析：CVE-2026-110003 从 X-GlassFish-authToken 头注入到远程命令执行的完整攻击链与加固实战

导语：Payara 认证绕过漏洞（CVE-2026-110003）以 CVSS 9.3 的极危评级撕开了 Java 应用服务器管理面的一道口子——一个伪造的 HTTP 请求头，就能让远程未授权攻击者绕过 secure-admin 限制并最终执行任意管理命令。本文从架构师视角完整拆解这条攻击链的每一环，并给出可直接落地的应急加固方案。

flowchart TD
    subgraph 攻击接入层 ["攻击接入层 (Attacker & Network Tier)"]
        A["远程未授权攻击者"] --> B["构造 X-GlassFish-authToken 任意值"]
    end
    subgraph 网关校验层 ["管理 REST 网关校验层 (Admin REST Gateway Tier)"]
        B --> C{"请求头存在?"}
        C -->|"是"| D["跳过 secure-admin 远程拒绝检查"]
        C -->|"否"| X["正常远程访问限制"]
    end
    subgraph 认证决策层 ["认证决策层 (Authentication Tier)"]
        D --> E{"Token 校验通过?"}
        E -->|"否"| F["回退到密码认证"]
        E -->|"是"| G["管理员会话"]
        F --> H{"默认域空密码?"}
        H -->|"是"| G
        H -->|"否"| Y["认证失败"]
    end
    subgraph 命令执行层 ["命令执行层 (Command Execution Tier)"]
        G --> I["执行任意管理命令"]
        I --> J[("服务器完全失陷")]
    end
  

一、漏洞全景：为什么 Payara 认证绕过漏洞值得最高级别警报

CVE-2026-110003 的 CVSS 评分高达 9.3，属于 Critical 级别。这个分数并非空穴来风——它同时满足“远程可利用”“无需认证”“影响机密性/完整性/可用性”三个最危险的维度。从架构师的视角看，这不是一个普通的输入校验缺陷，而是认证状态机设计层面的逻辑坍塌。

Payara Server 作为 GlassFish 的企业级衍生分支，在金融、电信与政企 Java 中间件市场有大量存量部署。其管理 REST 接口（/management/domain/…）本应受 secure-admin 远程访问策略保护，只允许来自受信管理网段的请求。而 Payara 认证绕过漏洞恰恰击穿了这层网络边界假设。

二、根因拆解：X-GlassFish-authToken 头的三重逻辑缺陷

漏洞的核心在于管理 REST 接口对 X-GlassFish-authToken 请求头的处理顺序与回退逻辑。我们把这段认证流程拆成三个致命环节来看。

2.1 缺陷一：请求头存在即豁免远程检查

在正常的 secure-admin 流程中，来自非受信网段的请求应在进入认证前就被拒绝。但代码逻辑在判断“是否远程请求”时，只要检测到 X-GlassFish-authToken 头存在，就直接放行远程拒绝检查，而完全没有校验该头的值是否合法。这相当于把“出示门禁卡”等同于“门禁卡有效”。

2.2 缺陷二：无效 Token 静默回退到密码认证

当伪造的 Token 校验失败时，认证流程没有直接返回 401，而是回退到基于用户名/密码的认证分支。这个 fallback 设计本身在单点看似乎合理（兼容旧客户端），但结合缺陷一，攻击者已经越过了网络层，现在只需要面对密码层。

2.3 缺陷三：默认域空管理密码直接放行

Payara 在部分默认域（domain1）配置中，管理密码允许为空。当密码认证分支遇到空密码配置时，空凭据被判定为认证成功。三个缺陷串联，攻击者从“远程未授权”一步跨到“管理员权限”。

三、攻击链复现：从请求头注入到任意命令执行

理解攻击链是制定防御策略的前提。下面给出一个概念性复现流程（仅用于授权测试环境验证）。

# 步骤 1：向管理 REST 接口发送携带伪造 authToken 的请求
# 目标：绕过 secure-admin 远程限制并触发空密码回退
curl -k -i 
  -H "X-GlassFish-authToken: any-arbitrary-value" 
  -H "Content-Type: application/json" 
  -X GET "https://TARGET:4848/management/domain/list-applications"

# 步骤 2：若返回 200 且携带管理数据，说明认证已被绕过
# 步骤 3：进一步调用管理命令接口执行任意操作
curl -k -i 
  -H "X-GlassFish-authToken: any-arbitrary-value" 
  -H "Content-Type: application/json" 
  -X POST "https://TARGET:4848/management/domain/execute-command" 
  -d '{"command":"id"}'

一旦攻击者能够调用管理命令接口，等价于获得服务器上以 Payara 运行用户身份的命令执行能力。在多数生产部署中，该用户往往具备读写应用部署目录、数据库连接配置乃至系统级脚本的权限，服务器完全失陷只是时间问题。

四、应急响应：Payara 认证绕过漏洞的分级处置方案

面对 CVSS 9.3 的 Payara 认证绕过漏洞，处置必须分层推进：先止血、再修复、后加固。

4.1 第一优先级：网络层止血

• 立即将管理端口（默认 4848）从公网/非受信网段下线，仅允许跳板机或管理 VPN 访问。
• 在边界 WAF/反向代理上增加规则：对管理路径请求中携带 X-GlassFish-authToken 且来源非受信网段的流量直接拒绝。
• 核查历史访问日志，检索该请求头出现记录，评估是否已被探测或利用。

4.2 第二优先级：补丁与配置修复

升级至 Azul/Payara 官方发布的修复版本是根除缺陷的唯一方式。同时必须消除“空管理密码”这一放大器。

# 1. 检查当前域管理密码是否为空（在 Payara 安装目录执行）
./asadmin list-password-aliases --domain domain1

# 2. 设置强管理密码
./asadmin change-admin-password --domain domain1

# 3. 确认 secure-admin 远程访问策略
./asadmin get secure-admin.*

# 4. 如无需远程管理，直接禁用远程管理
./asadmin set secure-admin.enabled=false

# 5. 升级 Payara 至官方修复版本后重启
./asadmin stop-domain domain1
# 安装修复版本后
./asadmin start-domain domain1

五、纵深防御：把 Payara 认证绕过漏洞变成架构改进契机

单点补丁解决的是已知漏洞，架构加固解决的是未知风险。建议借此次 Payara 认证绕过漏洞事件，系统性审视管理面安全。

• 管理面与业务面网络隔离：管理端口只监听内网回环或专用管理网卡，杜绝公网暴露。
• 认证状态机审计：对所有自定义认证过滤器做代码审计，重点排查“请求头存在即信任”“校验失败即回退”模式。
• 强制密码策略：禁止任何默认域、默认账号使用空密码或弱密码，纳入配置基线扫描。
• 最小权限运行：Payara 进程使用专用低权限账号，限制其可执行命令与文件系统访问范围。
• 管理操作审计告警：对管理 REST 接口的调用做全量日志记录，异常请求头与高频失败触发实时告警。

六、总结与行动清单

Payara 认证绕过漏洞（CVE-2026-110003）是一次典型的“逻辑缺陷叠加”型高危漏洞：单个缺陷或许只是信息泄露，但三个缺陷串联后直接升级为远程未授权命令执行。对于仍在使用 Payara/GlassFish 的团队，建议按以下清单立即行动：

• 盘点所有 Payara 实例及其管理端口暴露面。
• 立即下线公网管理端口，配置 WAF 拦截规则。
• 升级至官方修复版本，并强制设置强管理密码。
• 审计认证过滤器代码，消除“头存在即信任”反模式。
• 建立管理面操作审计与异常告警机制。