CVE-2021-44971

Authentication bypass w urządzeniach Tenda AC15 i AC5 umożliwiający RCE

CVSS 9.8v3.1pub. 2022-01-28upd. 2026-07-09

Wiele urządzeń Tenda, w tym AC15 i AC5, jest podatnych na authentication bypass, który pozwala nieuwierzytelnionemu atakującemu uzyskać dostęp do chronionych zasobów. W połączeniu z podatnością na command injection luka może prowadzić do zdalnego wykonania kodu (RCE).

▸ Pokaż oryginał (EN)

Multiple Tenda devices are affected by authentication bypass, such as AC15V1.0 Firmware V15.03.05.20_multi?AC5V1.0 Firmware V15.03.06.48_multi and so on. an attacker can obtain sensitive information, and even combine it with authenticated command injection to implement RCE.

🤖 Analiza AI

Jak działa

Atakujący może ominąć mechanizm uwierzytelniania urządzenia bez podawania jakichkolwiek poświadczeń, co klasyfikuje się jako nieprawidłowe porównanie warunków dostępu (CWE-697). Po uzyskaniu nieautoryzowanego dostępu możliwe jest pobranie wrażliwych informacji z urządzenia. Dodatkowo, authentication bypass może zostać skombinowany z uwierzytelnioną podatnością na command injection, co w efekcie umożliwia pełne zdalne wykonanie kodu na urządzeniu.

Skutki

Atakujący może uzyskać wrażliwe informacje z urządzenia, a w scenariuszu złożonego ataku (authentication bypass + command injection) przejąć pełną kontrolę nad urządzeniem poprzez zdalne wykonanie kodu (RCE).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu zastosowania aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego urządzeń wyłącznie do zaufanych sieci lokalnych oraz zablokowanie dostępu z Internetu (firewall, segmentacja sieci).

Kogo dotyczy

Tenda AC15 V1.0 z firmware V15.03.05.20_multi oraz Tenda AC5 V1.0 z firmware V15.03.06.48_multi, a także inne niezidentyfikowane bliżej urządzenia Tenda