Une porte dérobée d’authentification cachée découverte dans plusieurs versions du firmware des routeurs Tenda

Des chercheurs en sécurité ont identifié un mécanisme d’authentification caché dans plusieurs versions du firmware de routeurs Tenda, qui pourrait permettre à un attaquant distant d’accéder à l’interface web d’administration de l’appareil avec des privilèges d’administrateur. La faille est suivie sous l’identifiant CVE-2026-11405 et, selon le CERT/CC, elle n’a toujours pas été corrigée.

Le CERT/CC indique que le problème provient d’un chemin de code non documenté dans la routine login(), au sein du binaire du serveur web /bin/httpd du routeur. Dans des conditions normales, le firmware vérifie les identifiants à l’aide d’un processus de connexion basé sur MD5. Toutefois, si cette vérification échoue, l’appareil semble utiliser en remplacement un autre mot de passe stocké dans la valeur de configuration sys.rzadmin.password. Si le mot de passe fourni correspond à cette valeur, le routeur accorde un accès administrateur et ouvre une session valide, même si le nom d’utilisateur est incorrect ou totalement arbitraire.

Comme ce mécanisme n’est pas décrit dans la documentation du produit et n’est pas accessible depuis l’interface d’administration, les utilisateurs n’auraient aucun moyen évident de savoir que cette seconde méthode de connexion existe. Le CERT/CC a averti qu’une exploitation réussie permettrait à un attaquant de contrôler la configuration du routeur, les paramètres réseau et les fonctions de sécurité, ce qui pourrait ensuite être utilisé pour étendre son accès à l’ensemble du réseau local.

Appareils concernés

• Tenda FH1201 exécutant US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD
• Tenda W15E exécutant US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE
• Tenda AC10 exécutant US_AC10V1.0re_V15.03.06.46_multi_TDE01
• Tenda AC5 exécutant US_AC5V1.0RTL_V15.03.06.48_multi_TDE01
• Tenda AC6 V2 exécutant US_AC6V2.0RTL_V15.03.06.51_multi_T

Au moment de la publication, aucun correctif n’est disponible. Le CERT/CC conseille aux propriétaires de désactiver l’administration web à distance afin de réduire l’exposition sur Internet et, lorsque cela est possible, de modifier l’adresse IP LAN par défaut pour rendre la découverte automatisée par des scanners moins probable.

Le problème a été signalé par un chercheur anonyme. Bien qu’aucun élément ne confirme pour l’instant une exploitation active, les vulnérabilités des routeurs sont fréquemment ciblées par des botnets, ce qui rend plausible une exploitation rapide.