# Tozed ZLT X300 5G CPE — تنفيذ كود عن بُعد بصلاحيات الجذر عبر محطة قاعدة مارقة SDR (CVE-2026-2035703, CWE-78, CVSS 9.8) — إفصاح منسّق
الحالة: منشور — إفصاح منسّق عبر CISA ICS وCERT/CC
تاريخ الاكتشاف: 2026-08-08
الباحث: Muhammad Nadeem Danish (danish1162)
معرّف CVE: CVE-2026-108576 (مُخصَّص من VulDB CNA، منشور على cve.org)
محجوز سابقًا: CVE-2026-2035703 (MITRE — لم يُنشر قط، استُبدل بـ CVE-2026-108576)
الخطورة: حرجة (CVSS 10.0)
CWE: CWE-78 (حقن أوامر نظام التشغيل)
VulDB: VDB-416233
CERT/CC: VU#138275
GHSA: GHSA-qcpp-vfr2-v242
يحتوي موجّه Tozed ZLT X300 5G CPE على ثغرة حقن أوامر حرجة قابلة للاستغلال عبر الأثير بواسطة محطة قاعدة LTE مزيفة (SDR). يمرّر عميل TR-069/CWMP في الجهاز (netcwmpd) مدخلات غير معقّمة يتحكم بها الشبكة إلى أوامر shell، مما يتيح تنفيذ أوامر جذرية عن بُعد دون مصادقة.
يمكن لمهاجم يشغّل راديوًا معرّفًا بالبرمجيات (SDR) (بنحو 300 دولار أمريكي) ضمن المدى الراديوي أن ينتحل هوية خادم TR-069 ACS الخاص بمشغّل الشبكة ويحقن أوامر shell عشوائية تُنفَّذ بصلاحيات الجذر على الجهاز المستهدف — دون أي مصادقة، ودون أي تفاعل من المستخدم، ودون أي وصول مادي.
Attacker's SDR (~$300)
↓
Rogue LTE eNodeB (srsRAN, test frequency band)
↓ Strongest signal → X300 auto-connects
Rogue EPC assigns IP (172.16.0.x)
↓
TR-069 ACS impersonation (via DHCP Option 43)
↓
SetParameterValues: IPPingDiagnostics.Host = $(telnetd -l /bin/sh -p 4444)
↓
Device executes: ping "$(telnetd -l /bin/sh -p 4444)" as root
↓
ROOT SHELL on port 4444 — uid=0(root) gid=0(root)
يمرر المعالج IPPingDiagnostics في netcwmpd المعامل Host مباشرةً إلى سلسلة تنسيق sprintf التي تبني أمر shell:
// Decompiled from netcwmpd at 0x463E6C (IDA Pro)
sprintf(cmd,
"ping%s -c %d -s %d -W %u%s \"%s\" > /tmp/.tr069_pingtest.log",
ipv4_flag, repetitions, block_size, timeout, interface,
HOST); // HOST = unsanitized TR-069 parameter
يتم بعد ذلك تنفيذ الأمر عبر system() بصلاحيات الجذر (root). لا يتم إجراء أي تحقق من صحة المدخلات على معامل Host — لا تصفية للأحرف، ولا فحص بتعبير نمطي (regex)، ولا تحقق من الطول يتجاوز المخزن المؤقت البالغ 512 بايت.
يتم تقييم استبدال الأوامر $() داخل علامات الاقتباس المزدوجة بواسطة POSIX shell، مما يتيح تنفيذ أوامر عشوائية.
| الحقل | القيمة |
|---|---|
| الشركة المصنعة | Tozed Kangwei Tech Co., Ltd (شنتشن، الصين) |
| الطراز | ZLT X300 / X300A 5G CPE Router |
| البرنامج الثابت | 6.01.0 – 6.01.3 (يُعتقد أن جميع الإصدارات متأثرة) |
| المعمارية | aarch64 (MediaTek MT7992) |
| نظام التشغيل | OpenWrt 23.05.5، نواة Linux 5.15.167 |
| المكوّن | netcwmpd (CWMP daemon) |
| الموزّع | du / EITC (Emirates Integrated Telecommunications)، الإمارات العربية المتحدة |
يتم نشر ZLT X300 من قبل مشغلي الاتصالات عبر:
الشرق الأوسط: du (الإمارات)، STC وMobily (المملكة العربية السعودية)، Zain (الكويت، البحرين)، Ooredoo وOmantel (عُمان)
أوروبا: EE، O2، Three (المملكة المتحدة)، Telekom (ألمانيا)، TIM (إيطاليا)، Free Mobile، SFR، Orange (فرنسا)
آسيا: Singtel (سنغافورة)، AIS (تايلاند)، Smart (الفلبين)، Telkomsel (إندونيسيا)
أفريقيا: MTN وVodacom (جنوب أفريقيا)، MTN (نيجيريا)
كل جهاز يعمل بالبرنامج الثابت الحالي معرّض للخطر.
تم إجراء جميع عمليات اكتشاف الثغرات من خلال تحليل ثابت للبرنامج الثابت باستخدام IDA Pro — بتفكيك ثنائيات ARM وتتبع مسارات تنفيذ الشيفرة من مدخلات معامل TR-069 عبر sprintf إلى مصارف تنفيذ الصدفة (shell).
تم إجراء جميع عمليات التحقق على الأجهزة الحية واختبار إثبات المفهوم في بيئة مختبرية خاصة في باكستان، على معدات مملوكة شخصيًا، باستخدام شريحة SIM اختبارية قابلة للبرمجة sysmocom sysmoISIM-SJA5 (بادئة IMSI 999 — شبكة اختبار محجوزة من ITU، وليست أي مشغل تجاري) على نطاق ترددي غير مستخدم (Band 7، 2655 MHz — غير مستخدم من قبل مشغلي الاتصالات في الإمارات). لم تتأثر أي شبكة تجارية حية، ولم تكن أجهزة أي مشتركين آخرين معنية، ولم يتم إجراء أي إرسال على أي طيف تجاري مرخّص.
advisory/
TECHNICAL_REPORT.md Full vulnerability analysis with IDA decompilation
VENDOR_ADVISORY.md Formatted vendor notification
MITRE_CVE_REQUEST.md CVE record details
ZTE_PSIRT_EMAIL.md Record of vendor communication
netcwmpd في IDA Pro أو Ghidraprocess_ping عند العنوان 0x463A14Host من SetParameterValues الخاص بـ TR-069 عبر sprintf إلى أمر shellsystem()| التاريخ | الإجراء |
|---|---|
| 2026-08-08 | تم اكتشاف الثغرة عبر تحليل ثابت للبرنامج الثابت |
| 2026-08-14 | تم الإبلاغ إلى الشركة المصنّعة (Tozed Kangwei) وإلى MITRE |
| 2026-08-14 | حجز MITRE المعرّف CVE-2026-2035703 (لم يُنشر قط) |
| 2026-08-22 | ادّعت الشركة المصنّعة (قسم التسويق، لا يوجد PSIRT) أن الثغرة "تم إصلاحها بالفعل" — دون تقديم أي دليل |
| 2026-08-24–25 | سألت الشركة المصنّعة عن بطاقة SIM ثلاث مرات بدلاً من الإجابة عن الأسئلة التقنية |
| 2026-08-26 | تم التصعيد إلى ZTE PSIRT ([email protected]) |
| 2026-08-27 | رفضت الشركة المصنّعة التعاون — "تواصل مع البائع" |
| 2026-08-29 | أكّد ZTE PSIRT: "ليس منتج ZTE" — ورفض المسؤولية |
| 2026-08-29 | تم التصعيد إلى فرق CERT الوطنية |
| 2026-09-10 | فعّل CERT/CC حالة VINCE رقم VU#138275 |
| 2026-09-18 | شاركت CISA ICS — جارٍ إعداد إشعار |
| 2026-10-10 | أُسند المعرّف CVE-2026-108576 من قِبل VulDB CNA، ونُشر على cve.org |
لا تمتلك الشركة المصنّعة (Tozed Kangwei) فريق استجابة لحوادث أمن المنتجات (PSIRT). جاءت جميع المراسلات من قسم التسويق العالمي لديها. ادّعوا أن الثغرة "تم إصلاحها بالفعل" لكنهم لم يتمكنوا من تقديم رقم CVE أو إصدار برنامج ثابت مُرقّع أو إشعار أمني. لا يوجد أي سجل عام لأي إصلاح سابق على NVD أو OpenCVE أو CVE Details أو منشورات الشركة المصنّعة نفسها.
أُجريت جميع الأبحاث على أجهزة مملوكة شخصياً في مختبر خاص باستخدام بيانات اعتماد شبكة اختبار محجوزة من قِبل ITU (MCC 999). لم يحدث أي وصول غير مصرّح به إلى أي نظام. لم تتأثر أي شبكة تجارية حية. الإفصاح المنسّق قيد التنفيذ.
يُقدَّم هذا البحث لأغراض اختبار الأمان المصرّح به، ومعالجة المورّد، والبحث الأكاديمي فقط. ليس للوصول غير المصرّح به أو الاستخدام الخبيث.