El CERT/CC advirtió sobre una puerta trasera no documentada en varias versiones del firmware de dispositivos Tenda. Esta vulnerabilidad permite a un atacante evadir la verificación de contraseñas y obtener control administrativo total del equipo. Actualmente no existe un parche oficial, por lo que se recomienda desactivar la gestión remota y cambiar la IP predeterminada de la red local.





Se ha descubierto que varias versiones del firmware lanzado por el fabricante chino de dispositivos de red Tenda contienen una puerta trasera de autenticación no documentada que permite el acceso administrativo a las interfaces de gestión web de los dispositivos, advirtió el lunes el Centro de Coordinación CERT (CERT/CC).

"Un atacante puede explotar esta vulnerabilidad, identificada como CVE-2026-11405, para saltarse el proceso de verificación de contraseña y obtener el control administrativo completo sin credenciales válidas", señaló el CERT/CC en una alerta.

La vulnerabilidad afecta a múltiples versiones del firmware:

* US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD
* US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE
* US_AC10V1.0re_V15.03.06.46_multi_TDE01
* US_AC5V1.0RTL_V15.03.06.48_multi_TDE01
* US_AC6V2.0RTL_V15.03.06.51_multi_T

La funcionalidad de la puerta trasera se encuentra dentro de la función "login()" del binario del servidor web "/bin/httpd". Aunque el método sigue inicialmente una ruta de autenticación normal utilizando la verificación de contraseñas basada en MD5, activa una ruta de código alternativa si la autenticación falla.

Específicamente, esto implica llamar a "GetValue("sys.rzadmin.password")" para obtener un valor de contraseña alternativo de la configuración del dispositivo y realizar una comparación directa en texto plano entre la contraseña proporcionada por el usuario y el valor almacenado en la configuración. Si estos valores coinciden, la aplicación concede acceso de nivel administrador (role=2) y crea una sesión válida con privilegios elevados.

"El nombre de usuario ["rzadmin"] asociado no se valida, por lo que cualquier nombre de usuario proporcionado tendrá éxito cuando se combine con la contraseña de la puerta trasera", afirmó el CERT/CC. "Este mecanismo de autenticación de puerta trasera no está documentado ni es visible a través de ninguna interfaz administrativa".

La explotación exitosa de esta anulación de validación de usuario estándar permite el acceso administrativo completo a la interfaz web del dispositivo, independientemente de las credenciales de la cuenta de administrador. Esto puede permitir que un atacante realice modificaciones remotas no autorizadas de la configuración, desactive funciones de seguridad o reconfigure el dispositivo, lo que podría conducir a una toma de control total del mismo.

La vulnerabilidad, reportada por un investigador anónimo, sigue sin parchear hasta el momento de escribir este artículo. Tenda ha sido contactada para obtener comentarios y se actualizará la historia si responden.

Mientras tanto, se te recomienda desactivar la gestión remota en el dispositivo y cambiar la dirección IP predeterminada de la LAN para evitar que los actores malintencionados lleguen a él y reducir el descubrimiento oportunista por parte de escáneres automatizados que apuntan a rangos de IP predeterminados conocidos.

Fuente:
THN