CVE-2026-34474: Geheimnisleck bei ZTE H298A / H108N über ETHCheat

Technische Aufschlüsselung von CVE-2026-34474, bei der eine nicht authentifizierte ETHCheat=1-Anfrage dazu führt, dass betroffene ZTE ZXHN H298A 1.1- und H108N 2.6-Router das aktive Administratorkennwort, die ESSID und den WLAN-PSK im Antwort-Markup zurückgeben.

Zusammenfassung

Der beobachtete Exploit-Pfad ist eine nicht authentifizierte Offenlegung der Verwaltungsseite. Eine manipulierte GET-Anfrage an getpage.lua?pid=1000&ETHCheat=1 gibt HTML zurück, das Felder wie OBJ_USERINFO_IDPassword1, WLANPSK_KeyPassphrase1 und WLANAP_ESSID1 enthält. Bei den gemeldeten H298A- und H108N-Builds bedeutet dies, dass der Router das aktive Administratorkennwort und den WLAN-PSK direkt einem nicht authentifizierten Aufrufer preisgibt.

Das lokale PoC-Material enthält auch eine begleitende Anfrage an wizard_page/wizard_overETHfail_set_lua.lua, die die Seriennummer in strukturierter Ausgabe offenlegt. Einige Varianten desselben Modells sollen einen reduzierten Identifikatorsatz anstelle der vollständigen Kombination aus Kennwort und PSK preisgegeben haben, aber die Authentifizierungsgrenze versagte dennoch in die gleiche Richtung.

Patch-Status

Zum Stand 2026-05-18 zeigt der öffentliche Datensatz, dass CVE-2026-34474 am 2026-05-06 veröffentlicht wurde. Die Position von ZTE in der Korrespondenz von 2026 war, dass die betroffenen Produkte in den Jahren 2022 und 2023 eingestellt worden waren, und lehnte daraufhin eine herstellerseitige CVE-Zuweisung ab.

Betroffene Geräte

• ZXHN H298A 1.1
• ZXHN H108N 2.6

Grundursache

Die derzeit erhaltenen Beweise unterstützen die folgende Kette:

1. Ein nicht authentifizierter Client fordert GET /getpage.lua?pid=1000&ETHCheat=1 an.
2. Der Router gibt HTML-Felder mit Anmeldeinformationen im Antworttext zurück.
3. Das Extraktionsskript liest das Administratorkennwort, die ESSID und den WLAN-PSK direkt aus dem zurückgegebenen Markup.
4. Ein verwandter Wizard-Endpunkt legt ebenfalls Serieninformationen offen.

Aus diesem Grund geht das Problem von der Informationspreisgabe zu einem praktischen Kompromiss über: Die Verwaltungsschnittstelle selbst gibt die aktuellen Geheimnisse preis, die ein Angreifer für Administrator- und WLAN-Zugriff benötigt.

Repository-Struktur

• index.html: Haupt-öffentlicher Beitrag
• assets/: Seiten-CSS und JavaScript
• images/: lokale Screenshots und bereinigte Veröffentlichungsgrafiken
• poc/: Extraktionsskripte und Validierungshinweise

Öffentliche Referenzen

• CVE-Eintrag: https://www.cve.org/CVERecord?id=CVE-2026-34474
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-34474
• Öffentlicher Hinweis (Gist): https://gist.github.com/minanagehsalalma/7a8516b9b00d0008f2f25750320560c9
• ZTE EOS-Hinweis: https://support.zte.com.cn/support/news/NewsDetail.aspx?newsId=1018804
• ZTE EOS-Hinweis: https://support.zte.com.cn/support/news/NewsDetail.aspx?newsId=1022344

Zeitplan

• 2024-05-02: ursprünglicher Bericht an ZTE PSIRT gesendet
• 2024-05-06: ZTE bestätigte den Eingang
• 2024-05-08: ZTE verifizierte das Problem und verwies auf EOS-Ankündigungen
• 2026-01-17: MITRE-Serviceanfrage 1980204 mit dem H298A / H108N-Paket eröffnet
• 2026-02-02: ZTE lehnte herstellerseitige CVE-Zuweisung aufgrund der Produkteinstellung ab
• 2026-03-27: MITRE wies CVE-2026-34474 zu
• 2026-03-30: öffentliche Referenz an MITRE gesendet und Nachverfolgung unter Serviceanfrage 2016046 eröffnet
• 2026-05-06: CVE-2026-34474 auf cve.org veröffentlicht

Hinweise

Das derzeit stärkste technische Beweismaterial in diesem Repository ist das erhaltene Antwortverhalten und die aus dem zurückgegebenen Markup extrahierten Feldnamen. Die genaue serverseitige Implementierung für den ETHCheat-Zweig zu rekonstruieren, bleibt eine offene Reverse-Engineering-Spur.