CVE-2026-38577 — Tenda HG21 Hartcodierte Root-Zugangsdaten

Zusammenfassung

Beschreibung

Die Firmware-Analyse des Tenda HG21 XPON-Faser-Modems offenbarte ein hartcodiertes Administratorkonto, das in das ausgelieferte Firmware-Image eingebettet ist. Dem Konto werden volle Root-Rechte (UID 0) gewährt, und seine Zugangsdaten sind über alle Geräte hinweg statisch. Das bedeutet, dass jeder Angreifer, der einen exponierten Verwaltungsdienst auf einem verwundbaren Gerät erreichen kann, sich als Root authentifizieren kann, ohne das vom Kunden festgelegte Web-UI-Passwort zu kennen.

Wo es gefunden wurde

• /etc/passwd in der extrahierten Firmware enthält einen admin-Eintrag mit einem SHA256crypt-Passwort-Hash, der sich auf den statischen Wert system auflöst.
• Die UID des Kontos ist 0 — d. h., es ist Root, kein eingeschränktes Dienstkonto.
• Es ist keine /etc/shadow vorhanden, sodass der schwache/statische Hash in passwd das einzige Tor ist, das das Konto schützt.
• /etc/inetd.conf startet telnetd und ftpd, beide als Root ausgeführt, sodass das hartcodierte Konto über das Netzwerk erreichbar ist, nicht nur über eine serielle/UART-Konsole.
• Die Weboberfläche wird nur über einfaches HTTP (ohne TLS) bereitgestellt, was eine sekundäre Härtungslücke darstellt, aber selbst nicht die CVE ist.

Auswirkung

Ein Angreifer mit Netzwerkzugriff auf den Telnet-Dienst (TCP/23) oder FTP-Dienst (TCP/21) eines verwundbaren Geräts kann sich mit dem statischen Passwort als admin anmelden und eine Root-Shell bzw. Dateizugriff mit Root-Rechten erhalten. Dies ermöglicht mindestens:

• Codeausführung — Root-Shell über Telnet.
• Rechteausweitung — Es existiert keine Privilegiengrenze; das Konto startet direkt mit Root-Rechten.
• Informationsoffenlegung — Vollständiger Dateisystem-/Konfigurationszugriff, einschließlich aller auf dem Gerät gespeicherten Kundennetzwerk-Zugangsdaten.

CVSS-Vektoren aus der ursprünglichen Einreichung (die Bewertung des Herstellers kann nach Veröffentlichung abweichen):

• Angriffsvektor: Netzwerk
• Erforderliche Privilegien: Keine (Zugangsdaten sind hartcodiert/bekannt)
• Benutzerinteraktion: Keine
• Vertraulichkeit / Integrität / Verfügbarkeit: Hoch / Hoch / Hoch

Proof of Concept

Dies ist ein zugangsdatenbasierter PoC — er demonstriert, dass das hartcodierte Konto authentifiziert und Root-Rechte gewährt, kein Speicherkorruptions-Exploit. Führen Sie dies nur gegen ein Gerät aus, das Ihnen gehört oder für das Sie ausdrücklich autorisiert sind.

1. Bestätigen, dass die Zugangsdaten in der Firmware existieren

# Firmware extrahieren (binwalk oder ein Hersteller-Tool Ihrer Wahl)
binwalk -e US_HG21re_300002982_en_xpon_2.bin

# Die passwd-Datei lokalisieren und untersuchen
find . -name passwd
cat squashfs-root/etc/passwd
# -> admin:<sha256crypt-hash-of-"system">:0:0:root:/root:/bin/sh

2. Bestätigen, dass der Dienst erreichbar ist

nmap -p 21,23 <target-ip>

3. Mit dem hartcodierten Konto authentifizieren

telnet <target-ip>
# login: admin
# password: system

ftp <target-ip>
# Name: admin
# Password: system

Eine erfolgreiche Anmeldung an einem der beiden Dienste liefert eine Shell-/FTP-Sitzung mit Root-Rechten (id meldet uid=0(root)).

Abhilfe

• Der Hersteller sollte das hartcodierte admin/system-Konto vollständig entfernen oder zumindest ein eindeutiges, pro Gerät zufälliges Passwort erzwingen, das beim ersten Start gesetzt wird (nicht allein aus der Seriennummer ableitbar).
• telnetd/ftpd standardmäßig deaktivieren; eine ausdrückliche Opt-in-Entscheidung und ein authentifizierter, verschlüsselter Kanal (SSH/SFTP) für die Fernverwaltung erforderlich machen.
• Die Verwaltungsoberfläche ausschließlich über HTTPS bereitstellen.
• Die statischen Zugangsdaten in bereits ausgelieferten Geräten über ein Pflicht-Firmware-Update rotieren und beim Update einen Passwort-Reset erzwingen.

Zeitplan

Danksagungen

Entdeckt und gemeldet von:

• Anmol Singh Rajput — LinkedIn
• Deepak G — LinkedIn

Referenzen

• https://www.tenda.com.cn
• https://cwe.mitre.org/data/definitions/798.html