danish1162/cve-2026-2035703-x300Tozed ZLT X300 5G CPE — SDR रोग बेस स्टेशन के माध्यम से रिमोट रूट कोड निष्पादन (CVE-2026-2035703, CWE-78, CVSS 9.8) — समन्वित प्रकटीकरण
स्थिति: प्रकाशित — CISA ICS और CERT/CC के माध्यम से समन्वित डिस्क्लोज़र
खोजा गया: 2026-08-08
शोधकर्ता: Muhammad Nadeem Danish (danish1162)
CVE ID: CVE-2026-108576 (VulDB CNA द्वारा असाइन किया गया, cve.org पर प्रकाशित)
पूर्व में आरक्षित: CVE-2026-2035703 (MITRE — कभी प्रकाशित नहीं हुआ, CVE-2026-108576 द्वारा प्रतिस्थापित)
गंभीरता: क्रिटिकल (CVSS 10.0)
CWE: CWE-78 (OS कमांड इंजेक्शन)
VulDB: VDB-416233
CERT/CC: VU#138275
GHSA: GHSA-qcpp-vfr2-v242
Tozed ZLT X300 5G CPE राउटर में एक क्रिटिकल कमांड इंजेक्शन भेद्यता है जिसका शोषण एक रॉग LTE बेस स्टेशन (SDR) के माध्यम से ओवर-द-एयर किया जा सकता है। डिवाइस का TR-069/CWMP क्लाइंट (netcwmpd) बिना सैनिटाइज़ किए गए नेटवर्क-नियंत्रित इनपुट को शेल कमांड में पास करता है, जिससे अनऑथेंटिकेटेड रिमोट रूट कोड एक्ज़ीक्यूशन संभव हो जाता है।
रेडियो रेंज के भीतर एक सॉफ़्टवेयर-परिभाषित रेडियो (~$300 USD) संचालित करने वाला हमलावर कैरियर के TR-069 ACS सर्वर का रूप धारण कर सकता है और मनमाने शेल कमांड इंजेक्ट कर सकता है जो लक्षित डिवाइस पर रूट के रूप में निष्पादित होते हैं — शून्य प्रमाणीकरण, शून्य उपयोगकर्ता इंटरैक्शन और शून्य भौतिक पहुँच के साथ।
Attacker's SDR (~$300)
↓
Rogue LTE eNodeB (srsRAN, test frequency band)
↓ Strongest signal → X300 auto-connects
Rogue EPC assigns IP (172.16.0.x)
↓
TR-069 ACS impersonation (via DHCP Option 43)
↓
SetParameterValues: IPPingDiagnostics.Host = $(telnetd -l /bin/sh -p 4444)
↓
Device executes: ping "$(telnetd -l /bin/sh -p 4444)" as root
↓
ROOT SHELL on port 4444 — uid=0(root) gid=0(root)
netcwmpd में IPPingDiagnostics हैंडलर Host पैरामीटर को सीधे एक sprintf फ़ॉर्मेट स्ट्रिंग में पास करता है जो एक शेल कमांड बनाता है:
// Decompiled from netcwmpd at 0x463E6C (IDA Pro)
sprintf(cmd,
"ping%s -c %d -s %d -W %u%s \"%s\" > /tmp/.tr069_pingtest.log",
ipv4_flag, repetitions, block_size, timeout, interface,
HOST); // HOST = unsanitized TR-069 parameter
कमांड को फिर system() के माध्यम से root के रूप में निष्पादित किया जाता है। Host पैरामीटर पर कोई इनपुट सत्यापन नहीं किया जाता — कोई वर्ण फ़िल्टरिंग नहीं, कोई regex जाँच नहीं, 512-बाइट बफ़र से अधिक कोई लंबाई सत्यापन नहीं।
$() कमांड प्रतिस्थापन POSIX शेल द्वारा दोहरे उद्धरणों के भीतर मूल्यांकित किया जाता है, जिससे मनमाना कमांड निष्पादन संभव हो जाता है।
| फ़ील्ड | मान |
|---|---|
| निर्माता | Tozed Kangwei Tech Co., Ltd (शेनझेन, चीन) |
| मॉडल | ZLT X300 / X300A 5G CPE राउटर |
| फ़र्मवेयर | 6.01.0 – 6.01.3 (सभी संस्करण प्रभावित माने जाते हैं) |
| आर्किटेक्चर | aarch64 (MediaTek MT7992) |
| OS | OpenWrt 23.05.5, Linux kernel 5.15.167 |
| घटक | netcwmpd (CWMP डेमन) |
| वितरक | du / EITC (Emirates Integrated Telecommunications), UAE |
ZLT X300 को निम्नलिखित क्षेत्रों में कैरियर्स द्वारा तैनात किया गया है:
मध्य पूर्व: du (UAE), STC और Mobily (सऊदी अरब), Zain (कुवैत, बहरीन), Ooredoo और Omantel (ओमान)
यूरोप: EE, O2, Three (UK), Telekom (जर्मनी), TIM (इटली), Free Mobile, SFR, Orange (फ़्रांस)
एशिया: Singtel (सिंगापुर), AIS (थाईलैंड), Smart (फ़िलीपींस), Telkomsel (इंडोनेशिया)
अफ़्रीका: MTN और Vodacom (दक्षिण अफ़्रीका), MTN (नाइजीरिया)
वर्तमान फ़र्मवेयर पर प्रत्येक डिवाइस असुरक्षित है।
सभी भेद्यता खोज IDA Pro का उपयोग करके स्थिर फ़र्मवेयर विश्लेषण के माध्यम से की गई — ARM बाइनरीज़ को डीकंपाइल करना और TR-069 पैरामीटर इनपुट से sprintf के माध्यम से शेल निष्पादन सिंक तक कोड निष्पादन पथों का पता लगाना।
सभी लाइव हार्डवेयर सत्यापन और प्रूफ़-ऑफ़-कॉन्सेप्ट परीक्षण पाकिस्तान में एक निजी लैब वातावरण में, व्यक्तिगत स्वामित्व वाले उपकरण पर, एक sysmocom sysmoISIM-SJA5 प्रोग्रामेबल टेस्ट SIM (IMSI प्रीफ़िक्स 999 — ITU आरक्षित टेस्ट नेटवर्क, कोई वाणिज्यिक कैरियर नहीं) का उपयोग करके एक अप्रयुक्त फ़्रीक्वेंसी बैंड (Band 7, 2655 MHz — UAE कैरियर्स द्वारा उपयोग नहीं किया जाता) पर किए गए। कोई लाइव वाणिज्यिक नेटवर्क प्रभावित नहीं हुआ, किसी अन्य ग्राहक के डिवाइस शामिल नहीं थे, और किसी भी लाइसेंस प्राप्त वाणिज्यिक स्पेक्ट्रम पर कोई प्रसारण नहीं किया गया।
advisory/
TECHNICAL_REPORT.md Full vulnerability analysis with IDA decompilation
VENDOR_ADVISORY.md Formatted vendor notification
MITRE_CVE_REQUEST.md CVE record details
ZTE_PSIRT_EMAIL.md Record of vendor communication
netcwmpd को डीकंपाइल करें0x463A14 पर process_ping पर जाएँSetParameterValues से Host पैरामीटर को sprintf के माध्यम से शेल कमांड में ट्रेस करेंsystem() कॉल के बीच कोई इनपुट सैनिटाइज़ेशन मौजूद नहीं है| तिथि | कार्रवाई |
|---|---|
| 2026-08-08 | स्टैटिक फर्मवेयर विश्लेषण के माध्यम से भेद्यता की खोज |
| 2026-08-14 | निर्माता (Tozed Kangwei) और MITRE को रिपोर्ट किया गया |
| 2026-08-14 | MITRE द्वारा CVE-2026-2035703 आरक्षित (कभी प्रकाशित नहीं) |
| 2026-08-22 | निर्माता (मार्केटिंग विभाग, कोई PSIRT नहीं) ने दावा किया "पहले ही ठीक कर दिया गया है" — कोई साक्ष्य प्रदान नहीं किया गया |
| 2026-08-24–25 | निर्माता ने तकनीकी प्रश्नों का उत्तर देने के बजाय 3 बार SIM कार्ड के बारे में पूछा |
| 2026-08-26 | ZTE PSIRT ([email protected]) तक एस्केलेट किया गया |
| 2026-08-27 | निर्माता ने जवाब देने से इनकार किया — "अपने विक्रेता से संपर्क करें" |
| 2026-08-29 | ZTE PSIRT ने पुष्टि की: "ZTE उत्पाद नहीं है" — ज़िम्मेदारी से इनकार किया |
| 2026-08-29 | राष्ट्रीय CERTs तक एस्केलेट किया गया |
| 2026-09-10 | CERT/CC ने VINCE केस VU#138275 सक्रिय किया |
| 2026-09-18 | CISA ICS शामिल हुआ — सलाह-पत्र का प्रारूपण |
| 2026-10-10 | VulDB CNA द्वारा CVE-2026-108576 आवंटित, cve.org पर प्रकाशित |
निर्माता (Tozed Kangwei) के पास कोई Product Security Incident Response Team (PSIRT) नहीं है। सभी पत्राचार उनके Global Marketing विभाग से आया। उन्होंने दावा किया कि भेद्यता "पहले ही ठीक कर दी गई है" लेकिन कोई CVE संख्या, पैच किया गया फर्मवेयर संस्करण, या सुरक्षा सलाह-पत्र प्रदान नहीं कर सके। NVD, OpenCVE, CVE Details, या निर्माता के स्वयं के प्रकाशनों पर किसी भी पूर्व फिक्स का कोई सार्वजनिक रिकॉर्ड मौजूद नहीं है।
सभी शोध व्यक्तिगत स्वामित्व वाले हार्डवेयर पर एक निजी लैब में ITU-आरक्षित परीक्षण नेटवर्क क्रेडेंशियल्स (MCC 999) का उपयोग करके किया गया। किसी भी सिस्टम तक अनधिकृत पहुँच नहीं। कोई भी लाइव वाणिज्यिक नेटवर्क प्रभावित नहीं हुआ। समन्वित प्रकटीकरण प्रगति पर है।
यह शोध केवल अधिकृत सुरक्षा परीक्षण, विक्रेता उपचार, और शैक्षणिक अनुसंधान के लिए प्रदान किया गया है। अनधिकृत पहुँच या दुर्भावनापूर्ण उपयोग के लिए नहीं।