A kínai hálózatieszköz-gyártó Tenda több firmware-verziójáról kiderült, hogy egy nem dokumentált hitelesítési hátsó kaput tartalmaznak, amely adminisztrátori hozzáférést ad az eszközök webes kezelőfelületéhez – erre figyelmeztetett hétfőn a CERT Coordination Center (CERT/CC).

„A támadó kihasználhatja a CVE-2026-11405 azonosítón követett sebezhetőséget, megkerülheti a jelszó-ellenőrzési folyamatot, és érvényes hitelesítő adatok nélkül is teljes adminisztrátori irányítást szerezhet” – közölte a CERT/CC a figyelmeztetésében.

A sebezhetőség több firmware-verziót érint:

• US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD
• US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE
• US_AC10V1.0re_V15.03.06.46_multi_TDE01
• US_AC5V1.0RTL_V15.03.06.48_multi_TDE01
• US_AC6V2.0RTL_V15.03.06.51_multi_T

A hátsó kapu a „login()” függvényben található, a „/bin/httpd” web szerver binárisában. A folyamat eleinte normál hitelesítési útvonalat követ, MD5-alapú jelszóellenőrzéssel, de ha a hitelesítés sikertelen, egy alternatív kódrészlet lép működésbe.

Ilyenkor a rendszer a „GetValue("sys.rzadmin.password")” hívással egy alternatív jelszóértéket kér le az eszköz konfigurációjából, majd a felhasználó által megadott jelszót egyszerű szöveges összehasonlítással veti össze a konfigurációban tárolt értékkel. Ha a két érték egyezik, az alkalmazás adminisztrátori szintű hozzáférést ad (role=2), és érvényes, kiemelt jogosultságú sessiont hoz létre.

„A hozzá tartozó [„rzadmin”] felhasználónevet nem ellenőrzi a rendszer, így bármilyen megadott felhasználónév sikeres lesz, ha a hátsó kapuhoz tartozó jelszóval párosul” – írta a CERT/CC. „Ez a hátsó kapus hitelesítési mechanizmus semmilyen adminisztrációs felületen nem látható, és nincs dokumentálva.”

A szabványos felhasználónév-ellenőrzés ilyen megkerülése teljes adminisztrátori hozzáférést ad az eszköz webes felületéhez, függetlenül a tényleges adminisztrátori fiók hitelesítő adataitól. A támadó így jogosulatlanul módosíthatja a beállításokat távolról, kikapcsolhatja a biztonsági funkciókat, vagy átállíthatja az eszköz konfigurációját, ami teljes eszközátvételhez vezethet.

A sebezhetőséget egy névtelenséget kérő kutató jelentette, és a cikk írásakor még nem érhető el javítócsomag. A The Hacker News megkereste a Tendát kommentért, és frissíti a cikket, ha választ kap.

Addig is azt javasolják a felhasználóknak, hogy kapcsolják ki az eszközön a távoli menedzsmentet, és változtassák meg az alapértelmezett LAN IP-címet. Így nehezebben érik el a támadók az eszközt, és kisebb eséllyel találják meg azokat az automatizált szkennerek, amelyek ismert alapértelmezett IP-tartományokat pásztáznak.