danish1162/cve-2026-2035703-x300Tozed ZLT X300 5G CPE — SDR 불량 기지국을 통한 원격 루트 코드 실행 (CVE-2026-2035703, CWE-78, CVSS 9.8) — 조정된 공개
상태: 게시됨 — CISA ICS 및 CERT/CC를 통한 조정된 공개
발견일: 2026-08-08
연구자: Muhammad Nadeem Danish (danish1162)
CVE ID: CVE-2026-108576 (VulDB CNA에 의해 할당됨, cve.org에 게시됨)
이전에 예약됨: CVE-2026-2035703 (MITRE — 게시되지 않음, CVE-2026-108576으로 대체됨)
심각도: 치명적 (CVSS 10.0)
CWE: CWE-78 (OS 명령 주입)
VulDB: VDB-416233
CERT/CC: VU#138275
GHSA: GHSA-qcpp-vfr2-v242
Tozed ZLT X300 5G CPE 라우터에는 SDR 악성 LTE 기지국을 통해 무선으로 악용 가능한 치명적인 명령 주입 취약점이 존재합니다. 이 장치의 TR-069/CWMP 클라이언트(netcwmpd)는 정제되지 않은 네트워크 제어 입력을 셸 명령으로 전달하여, 인증 없이 원격 루트 코드 실행을 가능하게 합니다.
무선 범위 내에서 소프트웨어 정의 라디오(약 300달러)를 운용하는 공격자는 통신사의 TR-069 ACS 서버를 사칭하여 대상 장치에서 루트 권한으로 실행되는 임의의 셸 명령을 주입할 수 있습니다 — 인증 없음, 사용자 상호작용 없음, 물리적 접근 없음.
Attacker's SDR (~$300)
↓
Rogue LTE eNodeB (srsRAN, test frequency band)
↓ Strongest signal → X300 auto-connects
Rogue EPC assigns IP (172.16.0.x)
↓
TR-069 ACS impersonation (via DHCP Option 43)
↓
SetParameterValues: IPPingDiagnostics.Host = $(telnetd -l /bin/sh -p 4444)
↓
Device executes: ping "$(telnetd -l /bin/sh -p 4444)" as root
↓
ROOT SHELL on port 4444 — uid=0(root) gid=0(root)
netcwmpd의 IPPingDiagnostics 핸들러는 Host 매개변수를 셸 명령을 구성하는 sprintf 형식 문자열에 직접 전달합니다:
// Decompiled from netcwmpd at 0x463E6C (IDA Pro)
sprintf(cmd,
"ping%s -c %d -s %d -W %u%s \"%s\" > /tmp/.tr069_pingtest.log",
ipv4_flag, repetitions, block_size, timeout, interface,
HOST); // HOST = unsanitized TR-069 parameter
그런 다음 명령은 system()을 통해 root 권한으로 실행됩니다. Host 매개변수에 대한 입력 검증은 전혀 수행되지 않습니다 — 문자 필터링도, 정규식 검사도, 512바이트 버퍼를 넘어서는 길이 검증도 없습니다.
$() 명령 치환은 POSIX 셸에 의해 큰따옴표 안에서 평가되므로, 임의 명령 실행이 가능해집니다.
| 필드 | 값 |
|---|---|
| 제조사 | Tozed Kangwei Tech Co., Ltd (중국 선전) |
| 모델 | ZLT X300 / X300A 5G CPE 라우터 |
| 펌웨어 | 6.01.0 – 6.01.3 (모든 버전이 영향을 받는 것으로 판단됨) |
| 아키텍처 | aarch64 (MediaTek MT7992) |
| OS | OpenWrt 23.05.5, Linux 커널 5.15.167 |
| 구성 요소 | netcwmpd (CWMP 데몬) |
| 유통사 | du / EITC (Emirates Integrated Telecommunications), UAE |
ZLT X300은 다음 지역의 통신사들이 배포하고 있습니다:
중동: du (UAE), STC 및 Mobily (사우디아라비아), Zain (쿠웨이트, 바레인), Ooredoo 및 Omantel (오만)
유럽: EE, O2, Three (영국), Telekom (독일), TIM (이탈리아), Free Mobile, SFR, Orange (프랑스)
아시아: Singtel (싱가포르), AIS (태국), Smart (필리핀), Telkomsel (인도네시아)
아프리카: MTN 및 Vodacom (남아프리카공화국), MTN (나이지리아)
현재 펌웨어를 사용하는 모든 기기가 취약합니다.
모든 취약점 발견은 IDA Pro를 사용한 정적 펌웨어 분석을 통해 수행되었으며, ARM 바이너리를 디컴파일하고 TR-069 매개변수 입력에서 sprintf를 거쳐 셸 실행 싱크에 이르는 코드 실행 경로를 추적했습니다.
모든 실제 하드웨어 검증 및 개념 증명 테스트는 파키스탄의 비공개 랩 환경에서 개인 소유 장비로 수행되었으며, sysmocom sysmoISIM-SJA5 프로그래머블 테스트 SIM(IMSI 접두사 999 — ITU 예약 테스트 네트워크, 상용 통신사 아님)을 사용되지 않는 주파수 대역(Band 7, 2655 MHz — UAE 통신사가 사용하지 않음)에서 사용했습니다. 실제 상용 네트워크에는 영향을 주지 않았고, 다른 가입자의 기기도 관여하지 않았으며, 허가된 상용 주파수 대역에서의 전송도 수행되지 않았습니다.
advisory/
TECHNICAL_REPORT.md Full vulnerability analysis with IDA decompilation
VENDOR_ADVISORY.md Formatted vendor notification
MITRE_CVE_REQUEST.md CVE record details
ZTE_PSIRT_EMAIL.md Record of vendor communication
netcwmpd 디컴파일0x463A14의 process_ping으로 이동SetParameterValues의 Host 파라미터가 sprintf를 거쳐 셸 명령으로 전달되는 과정 추적system() 호출 사이에 입력 정제가 없음을 확인| 날짜 | 조치 |
|---|---|
| 2026-08-08 | 정적 펌웨어 분석을 통해 취약점 발견 |
| 2026-08-14 | 제조사(Tozed Kangwei) 및 MITRE에 보고 |
| 2026-08-14 | MITRE가 CVE-2026-2035703 예약 (게시되지 않음) |
| 2026-08-22 | 제조사(PSIRT 없음, 마케팅 부서)가 "이미 수정됨"이라고 주장 — 증거 미제공 |
| 2026-08-24–25 | 제조사가 기술적 질문에 답변하는 대신 SIM 카드에 대해 3회 문의 |
| 2026-08-26 | ZTE PSIRT([email protected])로 에스컬레이션 |
| 2026-08-27 | 제조사가 대응 거부 — "판매처에 문의하라" |
| 2026-08-29 | ZTE PSIRT 확인: "ZTE 제품 아님" — 책임 거부 |
| 2026-08-29 | 국가 CERT로 에스컬레이션 |
| 2026-09-10 | CERT/CC가 VINCE 사례 VU#138275 개시 |
| 2026-09-18 | CISA ICS 참여 — 권고문 작성 중 |
| 2026-10-10 | VulDB CNA가 CVE-2026-108576 할당, cve.org에 게시 |
제조사(Tozed Kangwei)에는 제품 보안 사고 대응팀(PSIRT)이 없습니다. 모든 서신은 그들의 글로벌 마케팅 부서에서 발송되었습니다. 그들은 취약점이 "이미 수정되었다"고 주장했지만 CVE 번호, 패치된 펌웨어 버전 또는 보안 권고문을 제공할 수 없었습니다. NVD, OpenCVE, CVE Details 또는 제조사 자체 발행물 어디에도 이전 수정에 대한 공개 기록은 존재하지 않습니다.
모든 연구는 ITU 예약 테스트 네트워크 자격 증명(MCC 999)을 사용하여 개인 소유 하드웨어의 사설 랩에서 수행되었습니다. 어떤 시스템에도 무단 접근하지 않았습니다. 운영 중인 상용 네트워크는 영향을 받지 않았습니다. 조정된 공개(Coordinated Disclosure)가 진행 중입니다.
이 연구는 승인된 보안 테스트, 제조사 수정 및 학술 연구 목적으로만 제공됩니다. 무단 접근 또는 악의적 사용을 위한 것이 아닙니다.