Ameriški CERT Coordination Center je pred kratkim opozoril na precej zanimivo varnostno luknjo, saj so njegovi strokovnjaki za kibernetsko varnost dobili namig anonimnega vira, ki je med svojimi preiskavami ugotovil, da nekateri usmerjevalniki podjetja Tenda, znanega po cenovno ugodnih usmerjevalnikih, vsebujejo nedokumentirana zadnja vrata, prek katerih lahko dovolj podkovani napadalci pridobijo skrbniške pravice v spletnem uporabniškem vmesniku zadevnega usmerjevalnika.
Ranljivost z oznako CVE-2026-11405 v bistvu deluje kot nedokumentirana zadnja vrata, prek katerih je mogoče zaobiti običajni postopek overjanja uporabnika in napadalec lahko pridobi skrbniške pravice stopnje Level 2, torej v bistvu dostopa do vseh pomembnih nastavitev in funkcij. Tenda se za zdaj uradno ni odzvala na ranljivost, za potencialno prizadete usmerjevalnike pa tudi ni izdala popravka, zato se pri teh izdelkih kaže precej velika napadalna površina, še posebej, če kibernetski kriminalci razvozlajo natančno delovanje nedokumentiranih zadnjih vrat, kar jim verjetno ne bo težko.
Po trenutnih informacijah je zagotovo prizadetih 5 modelov, in sicer naslednji:
- FH1201
- W15E
- AC10
- AC6
- AC5
Pri teh usmerjevalnikih so v vdelani programski opremi našli zgoraj omenjeno funkcijo, za katero za zdaj ni mogoče vedeti, ali je v programski opremi ostala po naključju, ker je po zaključku razvoja niso pozabili odstraniti, ali pa so jo tam pustili namerno, da bi jo lahko pozneje uporabljali za različne namene. Ni izključeno, da so nedokumentirana zadnja vrata prisotna tudi na krovu več usmerjevalnikov Tenda, kar bodo pokazale poznejše preiskave, proizvajalec se namreč za zdaj ni odzval na temo, čeprav bi z notranjo preiskavo lahko hitro postavili piko na zadevo.
Po mnenju raziskovalcev kibernetske varnosti je delovanje zadevnih zadnjih vrat precej zanimivo. Običajno se je v spletni uporabniški vmesnik mogoče prijaviti z vnosom uporabniškega imena in gesla, pri čemer sistem izvede običajno preverjanje na osnovi MD5. Če preverjanje spodleti, se aktivira sekundarna rutina, ki v bistvu primerja prej shranjeno geslo, ki je na napravi v obliki vrednosti sys.rzadmin.password, z vnesenim geslom, in če se ujemata, so skrbniške pravice takoj dostopne, ne glede na to, katero uporabniško ime je vnesla zadevna oseba, saj ga sekundarna rutina ne preverja več. Seveda niso izdali, kakšno geslo natančno vsebuje vdelana programska oprema.
Glede na zgoraj navedeno je zelo verjetno, da je odsek kode, uporabljen med razvojem programske opreme, »po naključju« ostal v kodi programske opreme, poslane v proizvodnjo, vsaj za zdaj ni bil izražen sum namernosti. Strokovnjaki potencialno prizadetim uporabnikom do odprave napake svetujejo, naj spremenijo privzeti naslov IP LAN usmerjevalnika, s čimer je mogoče napadalno površino nekoliko zmanjšati, čeprav napadalca z natančnim ciljem tako ni mogoče ustaviti. Hkrati je smiselno onemogočiti tudi oddaljeni dostop do spletnega uporabniškega vmesnika.
Zgornje odkritje sicer krepi prejšnje stališče FCC, da lahko usmerjevalniki tujih proizvajalcev v mnogih primerih vsebujejo zadnja vrata in resne varnostne luknje – zgornji primer je odličen zgled za to. FCC je zato marca prepovedal uvoz novih usmerjevalnikov, ki niso izdelani v Združenih državah Amerike.
