T3 Technology CPE — सुरक्षा सलाहकार

TrueOnline (थाईलैंड) द्वारा तैनात T3 Technology CPE (ONU/राउटर) उपकरणों में कई गंभीर कमज़ोरियाँ पाई गईं।

कमज़ोरियाँ

स्कोरिंग पर नोट: CVE-2026-35904 को CVSS v3.1 §3.5 के अनुसार इसके पृथक प्रभाव पर स्कोर किया गया है — Telnet सेवा को सक्षम करना एक कॉन्फ़िगरेशन-अखंडता परिवर्तन (मध्यम) है। पूर्ण उपकरण समझौते में इसकी भूमिका केवल तब आती है जब इसे CVE-2026-35905 / CVE-2026-35906 के साथ जोड़ा जाता है, जैसा कि नीचे दिखाया गया है।

हमला श्रृंखला

इन कमज़ोरियों को पूर्ण उपकरण समझौते के लिए श्रृंखलित किया जा सकता है:

CVE-2026-35906 (RCE as root)           ← Critical: one-click root via browser
  ├── CVE-2026-35904 (Enable Telnet)   ← Persistence: open management channel
  ├── CVE-2026-35905 (Hardcoded creds) ← Login: same password on every device
  └── Full device compromise           ← Game over

प्रभावित उपकरण

पुष्टि की गई

संदिग्ध

प्रकटीकरण समयरेखा

प्रकटीकरण उद्योग-मानक 90-दिवसीय जिम्मेदार प्रकटीकरण नीति का पालन करता है। विक्रेता और राष्ट्रीय CERT को 2026-02-10 को सूचित किया गया था। प्रकटीकरण विंडो के भीतर कोई प्रतिक्रिया, पैच या शमन प्रदान नहीं किया गया।

अस्वीकरण

सभी परीक्षण निजी प्रयोगशाला वातावरण में व्यक्तिगत रूप से स्वामित्व वाले उपकरणों पर किए गए। यह शोध जिम्मेदार प्रकटीकरण सिद्धांतों के तहत सद्भावना से किया गया। किसी भी उत्पादन नेटवर्क या तृतीय-पक्ष उपकरणों तक पहुँच नहीं बनाई गई।

लेखक

pwnOnu — स्वतंत्र सुरक्षा शोधकर्ता