CERT/CC warnt vor nicht dokumentierter Admin-Hintertür in Tenda-Router-Firmware

Das CERT Coordination Center (CERT/CC) hat vor einem versteckten Authentifizierungsmechanismus gewarnt, der in mehreren Tenda-Router-Firmwareversionen gefunden wurde. Die als CVE-2026-11405 erfasste Schwachstelle kann es einem Angreifer ermöglichen, die regulären Passwortprüfungen zu umgehen und mit vollständigen Berechtigungen auf die Webadministrationsoberfläche zuzugreifen.

Nach Angaben des CERT/CC betrifft das Problem die Webserver-Komponente /bin/httpd, die von der Managementoberfläche der Router verwendet wird. Bei der Anmeldung versucht der Code zunächst eine standardmäßige, auf MD5 basierende Passwortüberprüfung. Schlägt diese Prüfung fehl, folgt er einem zweiten Pfad, der einen Wert aus der Gerätekonfiguration, sys.rzadmin.password, abruft und direkt mit dem vom Benutzer eingegebenen Passwort vergleicht. Stimmen die Werte überein, erhält die Sitzung Administratorzugriff.

Der Warnhinweis stellt fest, dass der zugehörige Benutzername nicht sinnvoll validiert wird. Daher kann jeder beliebige Benutzername verwendet werden, sofern das Passwort mit dem versteckten Wert übereinstimmt. Das CERT/CC erklärte, der Mechanismus sei nicht dokumentiert und erscheine nicht in der normalen Administrationsoberfläche. Dadurch handle es sich faktisch eher um eine verborgene Hintertür als um eine reguläre Funktion.

Als betroffen identifizierte Firmwareversionen

• US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD
• US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE
• US_AC10V1.0re_V15.03.06.46_multi_TDE01
• US_AC5V1.0RTL_V15.03.06.48_multi_TDE01
• US_AC6V2.0RTL_V15.03.06.51_multi_TDE01

Bei einer Ausnutzung könnte die Schwachstelle einem Angreifer ermöglichen, Routereinstellungen zu ändern, Sicherheitskontrollen zu deaktivieren oder das Gerät vollständig neu zu konfigurieren. Dadurch könnten verbundene Netzwerke dem Abfangen von Datenverkehr, Dienstunterbrechungen oder einer umfassenderen Kompromittierung ausgesetzt werden.

Die Schwachstelle wurde von einem anonymen Sicherheitsforscher gemeldet und war zum Zeitpunkt der Veröffentlichung noch nicht behoben. Bis dahin empfiehlt das CERT/CC, die Angriffsfläche zu begrenzen, indem die Remoteadministration deaktiviert und die standardmäßige LAN-IP-Adresse geändert wird, um die Wahrscheinlichkeit automatisierter Entdeckung und opportunistischer Angriffe zu verringern.