Центр координации CERT (CERT/CC), финансируемая правительством США группа по кибербезопасности при Институте разработки программного обеспечения Университета Карнеги-Меллона, 6 июля раскрыла уязвимость прошивки, которая может предоставить злоумышленникам полный административный контроль над рядом сетевых устройств Tenda. Уязвимость, отслеживаемая как CVE-2026-11405, представляет собой незадокументированный бэкдор аутентификации в прошивке затронутых моделей, который обходит обычный процесс входа в систему и предоставляет доступ к веб-интерфейсу управления устройствами без действительных учетных данных. Ситуацию усугубляет отсутствие обновления безопасности, поскольку Tenda — бюджетный сетевой бренд из Шэньчжэня, широко представленный в Индии и на других рынках, — до сих пор не отреагировал, несмотря на обращение CERT/CC по этому вопросу. CERT/CC перечисляет пять затронутых версий прошивки, охватывающих семейства маршрутизаторов FH1201, W15E, AC10, AC5 и AC6. В консультативном заключении, в котором заслуга в обнаружении отдается анонимному исследователю, этот список не называется исчерпывающим. Список охватывает только конкретные сборки, о которых исследователь сообщил в CERT/CC, поскольку подтвержденный производителем масштаб неизвестен. Согласно консультативному заключению, уязвимость находится внутри встроенного веб-сервера маршрутизаторов, где незадокументированная процедура аутентификации позволяет административный доступ без необходимости ввода настроенных учетных данных администратора. Как и большинство потребительских маршрутизаторов, устройства Tenda предоставляют защищенный паролем веб-интерфейс управления для настройки параметров Wi-Fi, правил брандмауэра, DNS-серверов, обновлений прошивки, перенаправления портов, родительского контроля и других основных сетевых функций. Поскольку эти интерфейсы контролируют большинство аспектов работы маршрутизатора, они, как правило, защищены механизмами аутентификации, предназначенными для предотвращения внесения несанкционированными пользователями изменений, которые могут скомпрометировать всю домашнюю или корпоративную сеть. Согласно консультативному заключению, затронутая прошивка изначально выполняет аутентификацию, как и ожидается, проверяя пароль администратора с помощью стандартной проверки на основе MD5. Однако, когда эта проверка не удается, процедура входа в систему тихо переходит ко второму, незадокументированному пути кода. Вместо немедленного отклонения попытки входа в систему прошивка извлекает другой пароль, хранящийся внутренне под ключом конфигурации sys.rzadmin.password, и сравнивает его напрямую с паролем, предоставленным пользователем, используя стандартную библиотечную функцию C strcmp(). Если предоставленный пароль совпадает с этим скрытым значением, прошивка немедленно создает действительную административную сессию с полными привилегиями. Что еще более тревожно, связанное имя пользователя никогда не проверяется, что означает, что любое имя пользователя может быть использовано при условии предоставления скрытого пароля. В результате этот механизм фактически полностью обходит настроенную учетную запись администратора маршрутизатора. Хотя CERT/CC не раскрыл сам скрытый пароль, существование незадокументированного вторичного пути аутентификации значительно ослабляет модель безопасности затронутых устройств. В отличие от обычных уязвимостей аутентификации, возникающих из-за ошибок реализации, это отдельный путь входа в систему, а не ошибка в существующем, предоставляющий административный доступ через учетные данные, которые не задокументированы и не отображаются через интерфейс управления маршрутизатора. Остается неясным, был ли этот путь добавлен намеренно или оставлен как забытая функция разработки. CERT/CC не делает выводов о намерениях, а молчание Tenda ничего не проясняет. Успешная эксплуатация предоставляет злоумышленнику неограниченный контроль над конфигурацией маршрутизатора. Имея административный доступ, злоумышленник может изменять сетевые настройки, изменять DNS-серверы для перенаправления интернет-трафика, отключать меры безопасности, заменять учетные данные администратора или включать дополнительные функции удаленного доступа. Поскольку маршрутизаторы служат шлюзом между локальными устройствами и Интернетом, компрометация одного может подвергнуть все подключенные системы в сети дальнейшим атакам. До официальных обновлений прошивки от Tenda, CERT/CC рекомендует отключать удаленное веб-управление, где это возможно, чтобы не дать злоумышленникам получить доступ к административному интерфейсу через Интернет. Организация также советует ограничивать доступность в локальной сети, отмечая, что хотя изменение стандартного IP-адреса LAN маршрутизатора может уменьшить случайное обнаружение с помощью автоматизированных инструментов сканирования, это не защищает от целенаправленной сетевой разведки, проводимой решительными злоумышленниками. Это раскрытие информации перекликается с опасениями, которые высказывала Федеральная комиссия по связи (FCC), когда в марте добавила определенные сетевые продукты иностранного производства в свой Список подпадающих под действие мер (Covered List), запретив новым моделям получать авторизацию, необходимую для импорта и продажи в США. FCC утверждала, что скомпрометированные потребительские маршрутизаторы могут предоставить злоумышленникам точку опоры в домашних и малых офисных сетях. Незадокументированный административный бэкдор в широко продаваемом сетевом оборудовании — в сочетании с отсутствием патча или ответа от производителя — иллюстрирует тот тип риска безопасности цепочки поставок, который регуляторы стремятся устранить.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Etiido Uko
