CVE-2026-38577 — Tenda HG21 ハードコードされたルート認証情報

概要

フィールド	値
CVE ID	CVE-2026-38577
ベンダー	Tenda
製品	Tenda HG21 (XPON ファイバーモデム)
影響を受けるバージョン	V4.0.0-260302
プロダクトキー	HG21-V1.0-TDE01
ハードウェアバージョン	V1.0
ファームウェアビルド日	2026-03-02
ファームウェアファイル	`US_HG21re_300002982_en_xpon_2.zip`
脆弱性クラス	CWE-798: ハードコードされた認証情報の使用
発見者	Anmol Singh Rajput — 独立系セキュリティ研究者
開示状況	CVE 予約時点ではベンダーに未通知 — CVE 割り当て日から 90 日間の責任ある開示期間が適用

説明

Tenda HG21 XPON ファイバーモデムのファームウェア解析により、出荷時のファームウェアイメージにハードコードされた管理アカウントが埋め込まれていることが判明しました。このアカウントには完全な root 権限 (UID 0) が付与されており、その認証情報はデバイス間で静的です。つまり、脆弱なデバイスの公開された管理サービスに到達できる攻撃者は、顧客が設定した Web UI パスワードを知らなくても root として認証できます。

発見場所

抽出したファームウェアの /etc/passwd には、静的値 system に解決される SHA256crypt パスワードハッシュを持つ admin エントリが含まれています。
このアカウントの UID は 0 です — つまり、制限付きサービスアカウントではなく、root そのものです。
/etc/shadow は存在しないため、passwd 内の脆弱な/静的なハッシュがアカウントを保護する唯一のゲートとなります。
/etc/inetd.conf は telnetd と ftpd を起動し、両方とも root として実行されるため、ハードコードされたアカウントはシリアル/UART コンソールだけでなく、ネットワーク経由でも到達可能です。
Web 管理インターフェースは平文 HTTP のみで提供されており (TLS なし)、これは二次的な強化ギャップですが、それ自体が CVE ではありません。

影響

脆弱なデバイスの telnet (TCP/23) または FTP (TCP/21) サービスにネットワークアクセスできる攻撃者は、静的パスワードを使用して admin としてログインし、root シェル / root レベルのファイルアクセスを取得できます。これにより、少なくとも以下が可能になります:

コード実行 — telnet 経由の root シェル。
権限昇格 — 権限境界は存在せず、アカウントは root から開始されます。
情報漏えい — デバイスに保存されている顧客のネットワーク認証情報を含む、ファイルシステム/設定への完全なアクセス。

元の提出からの CVSS ベクトル (公開されるとベンダーのスコアリングが異なる場合があります):

攻撃ベクトル: ネットワーク
必要な権限: なし (認証情報はハードコード/既知)
ユーザー操作: なし
機密性 / 完全性 / 可用性: 高 / 高 / 高

概念実証

これは認証情報ベースの PoC です — ハードコードされたアカウントが認証され root を付与することを実証するものであり、メモリ破壊エクスプロイトではありません。所有しているデバイス、またはテストを明示的に許可されたデバイスに対してのみ実行してください。

1. ファームウェアに認証情報が存在することを確認

# ファームウェアを抽出 (binwalk またはお好みのベンダーツール)
binwalk -e US_HG21re_300002982_en_xpon_2.bin

# passwd ファイルを特定して検査
find . -name passwd
cat squashfs-root/etc/passwd
# -> admin:<sha256crypt-hash-of-"system">:0:0:root:/root:/bin/sh

2. サービスが到達可能であることを確認

nmap -p 21,23 <target-ip>

3. ハードコードされたアカウントで認証

telnet <target-ip>
# login: admin
# password: system

ftp <target-ip>
# Name: admin
# Password: system

どちらのサービスでもログインに成功すると、root 権限のシェル/FTP セッションが返されます (id は uid=0(root) を報告します)。

修正策

ベンダーはハードコードされた admin/system アカウントを完全に削除するか、少なくとも初回起動時にデバイスごとに一意のランダムパスワードを強制する必要があります (シリアル番号のみから導出可能であってはなりません)。
telnetd/ftpd をデフォルトで無効にし、リモート管理には明示的なオプトインと認証付き暗号化チャネル (SSH/SFTP) を必須にします。
管理 UI は HTTPS のみで提供します。
既に展開されているデバイスでは、必須のファームウェアアップデートにより静的認証情報をローテーションし、アップデート時にパスワードリセットを強制します。

タイムライン

日付	イベント
2026-03-02	脆弱なファームウェアビルドがリリース
—	独立したファームウェア解析中に発見
2026-04-09	MITRE 経由で CVE-2026-38577 が予約
—	ベンダー通知待ち (CVE 割り当てから 90 日間の開示期間)

クレジット

発見および報告:

Anmol Singh Rajput — LinkedIn
Deepak G — LinkedIn

CVE-2026-38577-by-deepak-Anmol

人気