CVE-2026-52200

UZ801 / ES-U3TS MifiService Нарушенный контроль доступа

Охранный бюллетень и технические заметки о проблеме нарушенного контроля доступа во встроенном веб-интерфейсе управления API, предоставляемом MifiService.apk на OEM / white-label платформе мобильного Wi-Fi UZ801_v2.1 4G LTE, также встречающейся на рынке под названием ES-U3TS.

Этот репозиторий предназначен для поддержки скоординированного раскрытия информации и присвоения CVE. Он сосредоточен на воспроизводимых, не-вейпонизированных технических доказательствах.

Краткое описание

Затронутое устройство предоставляет конечную точку управления HTTP на базе Jetty по адресу:

http://192.168.100.1/ajax

Диспетчер запросов бэкенда реализован в:

com.mifiservice.server.AjaxSevlet

Хотя веб-интерфейс отображает страницу входа, бэкенд не обеспечивает действительную аутентифицированную серверную сессию для большинства функций управления. В результате злоумышленник в соседней сети может напрямую вызывать чувствительные операции funcNo без аутентификации.

Подтвержденное воздействие включает:

• извлечение текущего пароля Wi-Fi в открытом виде
• извлечение IMEI, информации о прошивке, статусе SIM и сетевой конфигурации
• извлечение конфигурации DHCP и MAC-фильтра
• изменение и сохранение конфигурации управления без аутентификации
• запуск сброса конфигурации и перезагрузки устройства без аутентификации

Дополнительные функции высокого риска были подтверждены статическим анализом, включая:

• перезагрузку в загрузчик
• включение скрытых режимов USB ADB / Qualcomm Diag и перезагрузку
• недокументированную функцию перезаписи IMEI

Область применения и наименование

Протестированное оборудование, по-видимому, относится к семейству устройств OEM / white-label. Точный первоначальный разработчик в настоящее время неизвестен, и надежный контакт службы безопасности вендора пока не установлен.

Поэтому в данном бюллетене используется следующее наименование продукта:

• Платформа: UZ801_v2.1
• Наблюдаемый маркетинговый псевдоним: ES-U3TS
• Наблюдаемая прошивка: UZ801-V3.4.3
• Наблюдаемое приложение: MifiService.apk
• Наблюдаемый пакет: com.mifiservice.hello

Если будут обнаружены дополнительные бренды или реселлеры, поставляющие ту же прошивку, APK, веб-ресурсы и поведение funcNo, их следует рассматривать как вероятно затронутые варианты той же кодовой базы.

Затронутый компонент

• Конечная точка веб-API /ajax
• MifiService.apk
• com.mifiservice.server.AjaxSevlet

Основная причина

Это не в первую очередь проблема с учетными данными по умолчанию.

Основная причина — нарушенный контроль доступа в бэкенд-API:

• для большинства запросов управления не обеспечивается аутентифицированная серверная сессия
• отсутствует защита CSRF
• отсутствует проверка Origin
• отсутствует проверка Referer
• для большинства чувствительных функций не требуется сессионный cookie или токен

Функция входа существует, но она не обеспечивает значимых границ авторизации для большей части API управления.

Модель угроз

Основной вектор атаки:

• злоумышленник в соседней сети, подключенный к точке доступа устройства

Вторичный вектор атаки:

• CSRF-атака на основе браузера / эксплуатация drive-by против жертвы, в данный момент подключенной к LAN устройства

По умолчанию это не удаленная атака, доступная из интернета. Злоумышленник должен либо:

• иметь прямую связность уровня 2 / уровня 3 с 192.168.100.1, либо
• принудить браузер подключенной жертвы отправлять запросы к конечной точке устройства

Статус доказательств

Все приведенные ниже выводы включены как затронутая функциональность той же проблемы нарушенного контроля доступа.
Где это уместно, каждый пункт явно помечен как:

• Проверено вживую
• Подтверждено статическим анализом

Это различие сохранено для точности. Функциональность высокого риска не помечается как протестированная вживую, если она намеренно не выполнялась на публичном оборудовании.

Технические выводы по группам функций

Неаутентифицированное раскрытие информации

funcNo	Описание	Статус	Примечания
1002	Чтение SSID, IP устройства, DNS, пароля Wi-Fi	Проверено вживую	Возвращает пароль Wi-Fi в открытом виде
1009	Чтение режима шифрования Wi-Fi и пароля	Проверено вживую	Возвращает пароль Wi-Fi в открытом виде
1011	Чтение диапазона DHCP, DNS, списка клиентов	Проверено вживую	Полезно для локальной разведки
1015	Чтение статуса SIM	Проверено вживую	Возвращает состояние SIM
1029	Чтение IMEI, прошивки, производителя, информации о сигнале	Проверено вживую	Возвращает чувствительную идентичность устройства
1052	Чтение режима MAC-фильтра и настроенных записей	Проверено вживую	Раскрывает политику и настроенные слоты
2002	Чтение активного слота SIM	Проверено вживую	Раскрывает состояние выполнения

Неаутентифицированное изменение конфигурации

funcNo	Описание	Статус	Примечания
1004	Изменение режима подключения	Подтверждено статически	Наблюдение за отсутствием принудительной сессии
1005	Изменение предпочтительного режима сети	Подтверждено статически	Высокое операционное воздействие
1007	Изменение SSID / максимального количества станций	Подтверждено статически	Сохраняет конфигурацию и перезапускает логику AP
1010	Изменение режима шифрования Wi-Fi / пароля	Подтверждено статически	Высокое воздействие на конфиденциальность
1012	Изменение настроек, связанных с DHCP/DNS	Подтверждено статически	Вмешательство в локальную сеть
1016/1017/1018	Чтение / установка / переключение профиля APN	Подтверждено статически	Изменение поведения WAN
1031	Изменение языка и сохранение	Проверено вживую	Используется как низкорисковое доказательство доступа на запись
1053/1054/1055	Изменение поведения и записей MAC-фильтра	Подтверждено статически	Вмешательство в контроль доступа к сети

Неаутентифицированные разрушительные / административные действия

funcNo	Описание	Статус	Примечания
1013	Перезагрузка устройства	Проверено вживую	DoS / прерывание обслуживания
1014	Сброс конфигурации приложения/сети и перезагрузка	Проверено вживую	Не полное стирание пользовательских данных Android
2000	Перезагрузка в загрузчик	Проверено вживую	Высокое операционное воздействие
2001	Включение скрытой конфигурации USB ADB/Diag и перезагрузка	Подтверждено статически	Опасный путь обслуживания

Недокументированная или обслуживающая функциональность

funcNo	Описание	Статус	Примечания
2003	Скрытый путь обслуживающего пароля	Подтверждено статически	Использует жестко заданный admin8888; поведение выглядит частичным / остаточным
2004	Перезапись IMEI	Подтверждено статически	Вызывает путь AT-команд; публично не выполнялось

Статус вендора

• Первоначальный вышестоящий вендор: неизвестен
• Тип продукта: OEM / white-label платформа мобильного роутера
• Надежный контакт PSIRT / службы безопасности: не установлен
• Текущее состояние раскрытия: вендор недоступен / подтвержденный канал безопасности вендора отсутствует

На момент написания устройство, по-видимому, продается через каналы OEM / реселлеров с непоследовательным или отсутствующим брендированием, и надежный контакт с первоначальным разработчиком не установлен.

Безопасные примеры PoC

Приведенные ниже примеры намеренно ограничены операциями только для чтения или низкорисковой проверкой. Они включены для демонстрации уязвимости без предоставления вейпонизированного рабочего процесса эксплуатации.

1. Чтение текущего пароля Wi-Fi без аутентификации

curl -s \
  -H "Content-Type: application/json" \
  -d '{"funcNo":1002}' \
  http://192.168.100.1/ajax

Ожидаемое поведение:

• возвращает JSON
• включает ssid
• включает pwd в открытом виде