CVE-2021-21735: ZTE ZXHN H168N 情報漏えいから完全な管理者権限奪取まで

ZTE ZXHN H168N V3.5 における CVE-2021-21735 の技術的ケーススタディ兼 GitHub Pages 対応の解説記事です。

このリポジトリは、露出したウィザードエンドポイントの背後にあるファームウェアルーティングの欠陥、開示のタイムライン、ベンダーアドバイザリと NVD の間のスコアリングの乖離、そして情報漏えいから完全な管理者権限奪取に至る実際の経路に焦点を当てています。

このリポジトリの内容

• index.html: GitHub Pages 用に設計されたメインの記事ページ
• zte_zxhn_h168n_bulk_poc.py: 露出したウィザードエンドポイント用の一括 PoC スクリプト
• requirements.txt: PoC のための最小限の Python 依存関係
• hero.png: 記事ヘッダーで使用されるヒーロービジュアル
• Codecleaned.png: 根本原因分析で使用されるクリーンアップ済みファームウェアのスクリーンショット
• Redacted.png: 証拠セクションで使用される編集済みの証拠画像

核心的な観点

この解説では、CVE-2021-21735 を単なる一般的な情報漏えいとしてではなく、以下のように扱います。

• 露出したウィザードハンドラーが PPPoE および WLAN データを返していた
• ファームウェアの許可リストは、QuickSetupEnable ブランチを通じて機密性の高いセットアップルートを許可しているように見える
• 配備側の認証情報の取り扱いによって、情報漏えいが完全な管理者権限奪取に変わり得る

PoC

このリポジトリには、解説で説明されている露出したウィザードページの動作をホストリスト全体に対して実証する一括 PoC が含まれています。

python -m pip install -r requirements.txt
python .\zte_zxhn_h168n_bulk_poc.py --input .\urls.txt

このスクリプトは以下を取得します。

• PPPoE ADUsername
• PPPoE VDUsername
• WLAN ESSID
• WLAN KeyPassphrase を認証なしの GetPassword アクション経由で取得

想定される入力:

• urls.txt: 対象ホストまたは IP の改行区切りリスト

公開に関する注意

このリポジトリは GitHub Pages 用に準備されていますが、Pages はまだ有効化されていません。公開された GitHub Pages サイトは、リポジトリ自体がプライベートのままであっても公開アクセス可能になるためです。