T3 Technology CPE — सुरक्षा सलाहकार

TrueOnline (थाईलैंड) द्वारा तैनात T3 Technology CPE (ONU/राउटर) उपकरणों में कई गंभीर कमज़ोरियाँ पाई गईं।

कमज़ोरियाँ

CVE ID	गंभीरता	सारांश
CVE-2026-35904	4.3 मध्यम	CGI के माध्यम से अप्रमाणित Telnet सक्षम
CVE-2026-35905	8.8 उच्च	हार्डकोडेड रूट क्रेडेंशियल्स (superadmin)
CVE-2026-35906	9.6 गंभीर	डीबग CGI एंडपॉइंट के माध्यम से अप्रमाणित RCE

स्कोरिंग पर नोट: CVE-2026-35904 को CVSS v3.1 §3.5 के अनुसार इसके पृथक प्रभाव पर स्कोर किया गया है — Telnet सेवा को सक्षम करना एक कॉन्फ़िगरेशन-अखंडता परिवर्तन (मध्यम) है। पूर्ण उपकरण समझौते में इसकी भूमिका केवल तब आती है जब इसे CVE-2026-35905 / CVE-2026-35906 के साथ जोड़ा जाता है, जैसा कि नीचे दिखाया गया है।

हमला श्रृंखला

इन कमज़ोरियों को पूर्ण उपकरण समझौते के लिए श्रृंखलित किया जा सकता है:

CVE-2026-35906 (RCE as root)           ← Critical: one-click root via browser
  ├── CVE-2026-35904 (Enable Telnet)   ← Persistence: open management channel
  ├── CVE-2026-35905 (Hardcoded creds) ← Login: same password on every device
  └── Full device compromise           ← Game over

प्रभावित उपकरण

पुष्टि की गई

मॉडल	फ़र्मवेयर
T625Pro (WiFi 6 AX3000)	V1.0.07
T6825G (WiFi 6 AX5400)	V1.0.03
T7281 (WiFi 7)	V1.0.03

संदिग्ध

मॉडल	तर्क
T628	साझा विक्रेता SDK
T628L	साझा विक्रेता SDK

प्रकटीकरण समयरेखा

दिनांक	घटना
2026-02-10	ThaiCERT/NCSA (राष्ट्रीय CERT) को रिपोर्ट किया गया
2026-02-10	ThaiCERT/NCSA ने प्राप्ति स्वीकार की
2026-04-29	MITRE द्वारा CVE निर्दिष्ट किए गए
2026-05-11	90-दिन की समय सीमा समाप्त — कोई विक्रेता प्रतिक्रिया या पैच नहीं
2026-06-03	सार्वजनिक प्रकटीकरण

प्रकटीकरण उद्योग-मानक 90-दिवसीय जिम्मेदार प्रकटीकरण नीति का पालन करता है। विक्रेता और राष्ट्रीय CERT को 2026-02-10 को सूचित किया गया था। प्रकटीकरण विंडो के भीतर कोई प्रतिक्रिया, पैच या शमन प्रदान नहीं किया गया।

अस्वीकरण

सभी परीक्षण निजी प्रयोगशाला वातावरण में व्यक्तिगत रूप से स्वामित्व वाले उपकरणों पर किए गए। यह शोध जिम्मेदार प्रकटीकरण सिद्धांतों के तहत सद्भावना से किया गया। किसी भी उत्पादन नेटवर्क या तृतीय-पक्ष उपकरणों तक पहुँच नहीं बनाई गई।

लेखक

pwnOnu — स्वतंत्र सुरक्षा शोधकर्ता