CVE-2025-63666 — Tenda AC15

Riepilogo

Il firmware Tenda AC15 V15.03.05.18_multi rilascia un cookie di autenticazione nella forma password=<MD5(password)><suffisso di 6 caratteri> e lo restituisce senza i flag HttpOnly, Secure o SameSite, esponendo l'hash della password al client.
Il suffisso a bassa entropia funge da identificatore di sessione prevedibile, consentendo agli attaccanti di riprodurre o di dirottare le sessioni.

Impatto

• Esposizione degli hash delle password degli utenti ai client.
• Riproduzione o dirottamento di sessione tramite valori di cookie prevedibili.
• Possibili attacchi di forza bruta offline utilizzando il prefisso dell'hash MD5.

Dettagli tecnici / Esempio

• /login/Auth rilascia un cookie password=<MD5(password)><suffisso di 6 caratteri>.
• Il cookie è privo dei flag di sicurezza (HttpOnly, Secure, SameSite).
• Il cookie può essere letto tramite JavaScript (document.cookie) e riutilizzato nelle richieste a /main.html.
• Esempio:
  root@kitploit:~

  PW_HASH=$(echo -n 'ringzer0' | md5sum | cut -d' ' -f1)
  curl -v --compressed -c cookies.txt -D headers.txt -X POST \
    "http://192.168.141.128:20080/login/Auth" \
    -H "Content-Type: application/x-www-form-urlencoded; charset=UTF-8" \
    --data "username=admin&password=${PW_HASH}"
  COOKIE=$(awk 'NF && $0!~/^#/ {print $6"="$7; exit}' cookies.txt)
  curl -s -i -H "Cookie: ${COOKIE}" "http://192.168.141.128:20080/main.html" | sed -n '1,40p'
  

Mitigazione / Raccomandazioni

1. Non includere gli hash delle password nei cookie.
2. Generare token di sessione casuali (≥128 bit) lato server.
3. Aggiungere i flag HttpOnly, Secure e SameSite ai cookie di autenticazione.
4. Utilizzare funzioni di hash sicure (bcrypt, Argon2).
5. Implementare la scadenza della sessione e l'invalidazione al logout.

Riferimenti

• Voce NVD
• Voce CVE.org

---

Avviso

Il firmware Tenda AC15 versione V15.03.05.18_multi rilascia un cookie di autenticazione nella forma password=<MD5(password)><suffisso di 6 caratteri> e lo restituisce senza i flag HttpOnly, Secure e SameSite, esponendo l'hash della password al client.
Il suffisso a bassa entropia funge da identificatore di sessione prevedibile, consentendo il riutilizzo o il dirottamento della sessione.

Impatto

• L'hash della password dell'utente viene esposto al client.
• Possibile riutilizzo o dirottamento della sessione tramite valori di cookie prevedibili.
• Possibile cracking offline utilizzando l'hash MD5.

Dettagli tecnici / Esempio

• /login/Auth rilascia un cookie nella forma password=<MD5(password)><suffisso di 6 caratteri>.
• Il cookie non presenta i flag HttpOnly, Secure, SameSite.
• Il cookie può essere letto tramite JavaScript (document.cookie) e riutilizzato nelle richieste a /main.html.
• Esempio:
  root@kitploit:~

  PW_HASH=$(echo -n 'ringzer0' | md5sum | cut -d' ' -f1)
  curl -v --compressed -c cookies.txt -D headers.txt -X POST \
    "http://192.168.141.128:20080/login/Auth" \
    -H "Content-Type: application/x-www-form-urlencoded; charset=UTF-8" \
    --data "username=admin&password=${PW_HASH}"
  COOKIE=$(awk 'NF && $0!~/^#/ {print $6"="$7; exit}' cookies.txt)
  curl -s -i -H "Cookie: ${COOKIE}" "http://192.168.141.128:20080/main.html" | sed -n '1,40p'
  

Raccomandazioni di mitigazione

1. Non includere gli hash delle password nei cookie.
2. Generare token di sessione sul server utilizzando numeri casuali crittografici di almeno 128 bit.
3. Applicare i flag HttpOnly, Secure, SameSite ai cookie di autenticazione.
4. Utilizzare algoritmi di hash sicuri come bcrypt o Argon2.
5. Applicare la scadenza della sessione e l'invalidazione al logout.

Riferimenti

• Voce NVD
• Voce CVE.org