CVE-2025-63666 — Tenda AC15

Resumo

O firmware V15.03.05.18_multi do Tenda AC15 emite um cookie de autenticação no formato password=<MD5(password)><6-char suffix> e o retorna sem as flags HttpOnly, Secure ou SameSite, expondo o hash da senha ao cliente.
O sufixo de baixa entropia atua como um identificador de sessão previsível, permitindo que atacantes repitam ou sequestrem sessões.

Impacto

• Exposição dos hashes de senha dos usuários aos clientes.
• Replay ou sequestro de sessão por meio de valores de cookie previsíveis.
• Ataques de força bruta offline possíveis usando o prefixo do hash MD5.

Detalhes Técnicos / Exemplo

• /login/Auth emite um cookie password=<MD5(password)><6-char suffix>.
• O cookie não possui flags de segurança (HttpOnly, Secure, SameSite).
• O cookie pode ser acessado via JavaScript (document.cookie) e reutilizado em requisições para /main.html.
• Exemplo:

  PW_HASH=$(echo -n 'ringzer0' | md5sum | cut -d' ' -f1)
  curl -v --compressed -c cookies.txt -D headers.txt -X POST \
    "http://192.168.141.128:20080/login/Auth" \
    -H "Content-Type: application/x-www-form-urlencoded; charset=UTF-8" \
    --data "username=admin&password=${PW_HASH}"
  COOKIE=$(awk 'NF && $0!~/^#/ {print $6"="$7; exit}' cookies.txt)
  curl -s -i -H "Cookie: ${COOKIE}" "http://192.168.141.128:20080/main.html" | sed -n '1,40p'
  

Mitigação / Recomendações

1. Não inclua hashes de senha em cookies.
2. Gere tokens de sessão aleatórios (≥128 bits) no lado do servidor.
3. Adicione as flags HttpOnly, Secure e SameSite aos cookies de autenticação.
4. Use funções hash seguras (bcrypt, Argon2).
5. Implemente expiração de sessão e invalidação no logout.

Referências

• Registro NVD
• Registro CVE.org

---

Aviso

O firmware V15.03.05.18_multi do Tenda AC15 emite um cookie de autenticação no formato password=<MD5(password)><6자리 접미사> e o retorna sem as flags HttpOnly, Secure e SameSite, fazendo com que o hash da senha fique exposto ao cliente.
O sufixo de baixa entropia atua como um identificador de sessão previsível, permitindo a reutilização ou o sequestro de sessão.

Impacto

• O hash da senha do usuário fica exposto ao cliente.
• Reutilização ou sequestro de sessão possível por meio de valores de cookie previsíveis.
• Cracking offline possível usando o hash MD5.

Detalhes Técnicos / Exemplo

• /login/Auth emite um cookie no formato password=<MD5(password)><6자리 접미사>.
• O cookie não possui as flags HttpOnly, Secure e SameSite.
• O cookie pode ser lido via JavaScript (document.cookie) e reutilizado em requisições para /main.html.
• Exemplo:

  PW_HASH=$(echo -n 'ringzer0' | md5sum | cut -d' ' -f1)
  curl -v --compressed -c cookies.txt -D headers.txt -X POST \
    "http://192.168.141.128:20080/login/Auth" \
    -H "Content-Type: application/x-www-form-urlencoded; charset=UTF-8" \
    --data "username=admin&password=${PW_HASH}"
  COOKIE=$(awk 'NF && $0!~/^#/ {print $6"="$7; exit}' cookies.txt)
  curl -s -i -H "Cookie: ${COOKIE}" "http://192.168.141.128:20080/main.html" | sed -n '1,40p'
  

Mitigação / Recomendações

1. Não inclua hashes de senha em cookies.
2. Gere tokens de sessão com aleatoriedade criptográfica de pelo menos 128 bits no servidor.
3. Aplique as flags HttpOnly, Secure e SameSite aos cookies de autenticação.
4. Use algoritmos hash seguros, como bcrypt ou Argon2.
5. Implemente expiração de sessão e invalidação no logout.

Referências

• Registro NVD
• Registro CVE.org