CVE-2025-63666 — Tenda AC15

Краткое описание

Прошивка Tenda AC15 версии V15.03.05.18_multi выдает аутентификационный cookie в форме password=<MD5(пароль)><6-символьный суффикс> и возвращает его без флагов HttpOnly, Secure или SameSite, что приводит к раскрытию хеша пароля на стороне клиента.
Суффикс с низкой энтропией выступает в качестве предсказуемого идентификатора сессии, что позволяет злоумышленникам повторно использовать или перехватывать сессии.

Влияние

• Раскрытие хешей паролей пользователей на стороне клиента.
• Возможность повторного использования или перехвата сессии через предсказуемые значения cookie.
• Возможность атак подбора пароля в офлайн-режиме с использованием префикса MD5-хеша.

Технические детали / Пример

• /login/Auth выдает cookie password=<MD5(пароль)><6-символьный суффикс>.
• Cookie лишен флагов безопасности (HttpOnly, Secure, SameSite).
• Cookie может быть получен через JavaScript (document.cookie) и повторно использован в запросах к /main.html.
• Пример:
  root@kitploit:~

  PW_HASH=$(echo -n 'ringzer0' | md5sum | cut -d' ' -f1)
  curl -v --compressed -c cookies.txt -D headers.txt -X POST \
    "http://192.168.141.128:20080/login/Auth" \
    -H "Content-Type: application/x-www-form-urlencoded; charset=UTF-8" \
    --data "username=admin&password=${PW_HASH}"
  COOKIE=$(awk 'NF && $0!~/^#/ {print $6"="$7; exit}' cookies.txt)
  curl -s -i -H "Cookie: ${COOKIE}" "http://192.168.141.128:20080/main.html" | sed -n '1,40p'
  

Меры по смягчению / Рекомендации

1. Не включать хеши паролей в cookies.
2. Генерировать случайные токены сессии (≥128 бит) на стороне сервера.
3. Добавлять флаги HttpOnly, Secure и SameSite к аутентификационным cookie.
4. Использовать безопасные хеш-функции (bcrypt, Argon2).
5. Реализовать истечение сессии и её аннулирование при выходе.

Ссылки

• Запись NVD
• Запись CVE.org

---

권고문

Tenda AC15 펌웨어 V15.03.05.18_multi 버전은 password=<MD5(password)><6자리 접미사> 형태의 인증 쿠키를 발급하며, HttpOnly, Secure, SameSite 플래그 없이 반환하여 비밀번호 해시가 클라이언트에 노출됩니다.
짧은 엔트로피의 접미사는 예측 가능한 세션 식별자로 작동하여 세션 재사용 또는 하이재킹이 가능합니다.

영향

• 사용자 비밀번호 해시가 클라이언트에 노출됨.
• 예측 가능한 쿠키 값으로 세션 재사용 또는 탈취 가능.
• MD5 해시를 이용한 오프라인 크래킹 가능.

기술적 세부사항 / 예시

• /login/Auth는 password=<MD5(password)><6자리 접미사> 형태의 쿠키를 발급함.
• 쿠키에는 HttpOnly, Secure, SameSite 플래그가 없음.
• 자바스크립트(document.cookie)로 쿠키를 읽어 /main.html 요청 시 재사용 가능.
• 예시:
  root@kitploit:~

  PW_HASH=$(echo -n 'ringzer0' | md5sum | cut -d' ' -f1)
  curl -v --compressed -c cookies.txt -D headers.txt -X POST \
    "http://192.168.141.128:20080/login/Auth" \
    -H "Content-Type: application/x-www-form-urlencoded; charset=UTF-8" \
    --data "username=admin&password=${PW_HASH}"
  COOKIE=$(awk 'NF && $0!~/^#/ {print $6"="$7; exit}' cookies.txt)
  curl -s -i -H "Cookie: ${COOKIE}" "http://192.168.141.128:20080/main.html" | sed -n '1,40p'
  

완화 권고

1. 쿠키에 비밀번호 해시를 포함하지 말 것.
2. 서버에서 128비트 이상 암호학적 난수로 세션 토큰을 생성할 것.
3. 인증 쿠키에 HttpOnly, Secure, SameSite 플래그를 적용할 것.
4. bcrypt 또는 Argon2 등 안전한 해시 알고리즘 사용.
5. 세션 만료 및 로그아웃 시 무효화 기능 적용.

참고

• NVD 등록정보
• CVE.org 등록정보