CVE-2026-108576：Tozed ZLT X300 5G CPE — 通过 SDR 恶意基站实现远程 Root 代码执行

状态： 已发布 — 通过 CISA ICS 和 CERT/CC 协调披露
发现日期： 2026-08-08
研究员： Muhammad Nadeem Danish (danish1162)
CVE ID： CVE-2026-108576（由 VulDB CNA 分配，发布于 cve.org）
此前预留： CVE-2026-2035703（MITRE — 从未发布，已被 CVE-2026-108576 取代）
严重性： 严重（CVSS 10.0）
CWE： CWE-78（操作系统命令注入）
VulDB： VDB-416233
CERT/CC： VU#138275
GHSA： GHSA-qcpp-vfr2-v242

---

摘要

Tozed ZLT X300 5G CPE 路由器包含一个严重的命令注入漏洞，可通过恶意 LTE 基站（SDR）以无线方式利用。该设备的 TR-069/CWMP 客户端（netcwmpd）将未经净化的网络控制输入传入 shell 命令，从而实现未经身份验证的远程 root 代码执行。

攻击者只需在无线电范围内操作一台软件定义无线电（约 300 美元），即可冒充运营商的 TR-069 ACS 服务器，并注入以 root 身份在目标设备上执行的任意 shell 命令——无需任何身份验证、无需任何用户交互、无需任何物理接触。

攻击向量

Attacker's SDR (~$300)
    ↓
Rogue LTE eNodeB (srsRAN, test frequency band)
    ↓ Strongest signal → X300 auto-connects
Rogue EPC assigns IP (172.16.0.x)
    ↓
TR-069 ACS impersonation (via DHCP Option 43)
    ↓
SetParameterValues: IPPingDiagnostics.Host = $(telnetd -l /bin/sh -p 4444)
    ↓
Device executes: ping "$(telnetd -l /bin/sh -p 4444)" as root
    ↓
ROOT SHELL on port 4444 — uid=0(root) gid=0(root)

漏洞详情

netcwmpd 中的 IPPingDiagnostics 处理程序将 Host 参数直接传入一个 sprintf 格式字符串，该字符串用于构建 shell 命令：

// Decompiled from netcwmpd at 0x463E6C (IDA Pro)
sprintf(cmd,
    "ping%s -c %d -s %d -W %u%s \"%s\" > /tmp/.tr069_pingtest.log",
    ipv4_flag, repetitions, block_size, timeout, interface,
    HOST);  // HOST = unsanitized TR-069 parameter

随后该命令通过 system() 以 root 身份执行。对 Host 参数未进行任何输入验证——没有字符过滤、没有正则检查、除 512 字节缓冲区外没有长度验证。

$() 命令替换会在双引号内由 POSIX shell 求值，从而实现任意命令执行。

受影响设备

字段	值
制造商	深圳市通则康威科技有限公司（Tozed Kangwei Tech Co., Ltd，中国深圳）
型号	ZLT X300 / X300A 5G CPE 路由器
固件	6.01.0 – 6.01.3（据信所有版本均受影响）
架构	aarch64（MediaTek MT7992）
操作系统	OpenWrt 23.05.5，Linux 内核 5.15.167
组件	netcwmpd（CWMP 守护进程）
分销商	du / EITC（Emirates Integrated Telecommunications，阿联酋）

影响

• 设备完全接管——root shell（uid=0），安装持久化后门
• 大规模监控——重定向 DNS，拦截所有用户流量
• 政府设施沦陷——任何使用 du 5G 固定无线的办公室均存在风险
• 凭据窃取——访问 /etc/shadow、WiFi 密码、TR-069 凭据、IMEI
• 僵尸网络招募——在数千台 CPE 设备上植入持久化恶意软件
• 横向移动——以用户局域网内的所有设备为跳板

部署范围

ZLT X300 由运营商部署于：

中东： du（阿联酋）、STC 和 Mobily（沙特阿拉伯）、Zain（科威特、巴林）、Ooredoo 和 Omantel（阿曼）
欧洲： EE、O2、Three（英国）、Telekom（德国）、TIM（意大利）、Free Mobile、SFR、Orange（法国）
亚洲： Singtel（新加坡）、AIS（泰国）、Smart（菲律宾）、Telkomsel（印度尼西亚）
非洲： MTN 和 Vodacom（南非）、MTN（尼日利亚）

当前固件上的每台设备均存在漏洞。

测试环境

所有漏洞发现均通过 静态固件分析 完成，使用 IDA Pro——反编译 ARM 二进制文件，并追踪从 TR-069 参数输入经 sprintf 到 shell 执行汇聚点的代码执行路径。

所有实机硬件验证和概念验证测试均在 巴基斯坦的私有实验室环境 中进行，使用个人拥有的设备，采用 sysmocom sysmoISIM-SJA5 可编程测试 SIM 卡（IMSI 前缀 999——ITU 保留测试网络，非任何商业运营商），工作在 未占用频段（Band 7，2655 MHz——阿联酋运营商未使用）。未影响任何现网商业网络，未涉及其他用户的设备，也未在任何许可商业频谱上进行传输。

仓库内容

advisory/
  TECHNICAL_REPORT.md        Full vulnerability analysis with IDA decompilation
  VENDOR_ADVISORY.md         Formatted vendor notification
  MITRE_CVE_REQUEST.md       CVE record details
  ZTE_PSIRT_EMAIL.md         Record of vendor communication

验证

1. 从你自己的 X300 设备中提取 rootfs
2. 在 IDA Pro 或 Ghidra 中反编译 netcwmpd
3. 导航到地址 0x463A14 处的 process_ping
4. 追踪 TR-069 SetParameterValues 中的 Host 参数，经 sprintf 进入 shell 命令的过程
5. 确认网络输入与 system() 调用之间不存在任何输入净化

厂商回应

日期	操作
2026-08-08	通过静态固件分析发现漏洞
2026-08-14	报告给制造商（Tozed Kangwei）和 MITRE
2026-08-14	MITRE 预留 CVE-2026-2035703（从未发布）
2026-08-22	制造商（市场部门，无 PSIRT）声称“已修复”——未提供任何证据
2026-08-24–25	制造商三次询问 SIM 卡问题，而非回答技术问题
2026-08-26	上报至中兴 PSIRT（[email protected]）
2026-08-27	制造商拒绝配合——“联系你的卖家”
2026-08-29	中兴 PSIRT 确认：“非中兴产品”——拒绝承担责任
2026-08-29	上报至各国 CERT
2026-09-10	CERT/CC 启动 VINCE 案例 VU#138275
2026-09-18	CISA ICS 介入——起草公告
2026-10-10	VulDB CNA 分配 CVE-2026-108576，发布于 cve.org

制造商（Tozed Kangwei）没有产品安全事件响应团队（PSIRT）。 所有通信均来自其全球市场部门。他们声称该漏洞“已修复”，但无法提供 CVE 编号、修补后的固件版本或安全公告。在 NVD、OpenCVE、CVE Details 或制造商自己的出版物上均不存在任何先前修复的公开记录。

参考资料

• CVE-2026-108576 — cve.org | VulDB VDB-416233
• GHSA-qcpp-vfr2-v242 — GitHub 安全公告
• VU#138275 — CERT/CC VINCE

授权

所有研究均在私人实验室中、使用 ITU 保留的测试网络凭据（MCC 999）在个人拥有的硬件上进行。未对任何系统进行未经授权的访问。未影响任何实际运营的商业网络。协调披露正在进行中。

研究者

• 姓名： Muhammad Nadeem Danish
• HackerOne： danish1162
• Bugcrowd： danish1162
• GitHub： danish1162

许可证

本研究仅供授权的安全测试、厂商修复和学术研究使用。不得用于未经授权的访问或恶意用途。