CVE-2026-38577 — Жестко заданные root-учётные данные в Tenda HG21

Сводка

Описание

Анализ прошивки XPON-оптического модема Tenda HG21 выявил жестко заданную административную учётную запись, встроенную в поставляемый образ прошивки. Учётная запись имеет полные привилегии root (UID 0), а её учётные данные статичны на всех устройствах, что означает: любой злоумышленник, способный обратиться к открытой службе управления на уязвимом устройстве, может аутентифицироваться как root, не зная установленного пользователем пароля веб-интерфейса.

Где это было обнаружено

• В /etc/passwd извлечённой прошивки присутствует запись admin с SHA256crypt-хешем пароля, который соответствует статическому значению system.
• UID учётной записи — 0, то есть это и есть root, а не ограниченная служебная учётная запись.
• Файл /etc/shadow отсутствует, поэтому слабый/статический хеш в passwd является единственным барьером, защищающим учётную запись.
• /etc/inetd.conf запускает telnetd и ftpd, оба процесса работают от имени root, поэтому жестко заданная учётная запись доступна по сети, а не только через последовательный/UART-консоль.
• Веб-интерфейс управления обслуживается только по обычному HTTP (без TLS), что является вторичным пробелом в защите, но само по себе не относится к CVE.

Воздействие

Злоумышленник, имеющий сетевой доступ к службам telnet (TCP/23) или FTP (TCP/21) уязвимого устройства, может войти как admin, используя статический пароль, и получить root-оболочку / доступ к файлам на уровне root. Это позволяет, как минимум:

• Выполнение кода — root-оболочка через telnet.
• Повышение привилегий — границы привилегий отсутствуют; учётная запись сразу работает от имени root.
• Раскрытие информации — полный доступ к файловой системе/конфигурации, включая любые учётные данные клиентской сети, хранящиеся на устройстве.

Векторы CVSS из первоначальной заявки (оценка производителя может отличаться после публикации):

• Вектор атаки: Сеть
• Требуемые привилегии: Отсутствуют (учётные данные жестко заданы/известны)
• Взаимодействие с пользователем: Отсутствует
• Конфиденциальность / Целостность / Доступность: Высокая / Высокая / Высокая

Доказательство концепции

Это PoC на основе учётных данных — он демонстрирует, что жестко заданная учётная запись проходит аутентификацию и предоставляет root, а не эксплойт повреждения памяти. Запускайте его только против устройства, которым вы владеете или на тестирование которого у вас есть явное разрешение.

1. Подтвердите наличие учётных данных в прошивке

# Извлеките прошивку (binwalk или инструмент производителя на ваш выбор)
binwalk -e US_HG21re_300002982_en_xpon_2.bin

# Найдите и проверьте файл passwd
find . -name passwd
cat squashfs-root/etc/passwd
# -> admin:<sha256crypt-хеш-"system">:0:0:root:/root:/bin/sh

2. Подтвердите доступность службы

nmap -p 21,23 <target-ip>

3. Аутентифицируйтесь с помощью жестко заданной учётной записи

telnet <target-ip>
# login: admin
# password: system

ftp <target-ip>
# Name: admin
# Password: system

Успешный вход в любую из служб возвращает сеанс оболочки/FTP с привилегиями root (id сообщит uid=0(root)).

Устранение

• Производителю следует полностью удалить жестко заданную учётную запись admin/system или, как минимум, принудительно задавать уникальный случайный пароль для каждого устройства при первой загрузке (не выводимый только из серийного номера).
• Отключить telnetd/ftpd по умолчанию; требовать явного согласия и аутентифицированного зашифрованного канала (SSH/SFTP) для удалённого администрирования.
• Обслуживать интерфейс управления только через HTTPS.
• Ротировать статические учётные данные на уже развёрнутых устройствах через обязательное обновление прошивки и принудительно сбрасывать пароль при обновлении.

Хронология

Авторы

Обнаружено и сообщено:

• Anmol Singh Rajput — LinkedIn
• Deepak G — LinkedIn

Ссылки

• https://www.tenda.com.cn
• https://cwe.mitre.org/data/definitions/798.html