騰達路由器韌體藏隱密後門漏洞，廠商無視資安警告至今未修補

騰達路由器韌體驚現隱密後門，CERT/CC警示無修補程式可用

美國卡內基美隆大學軟體工程研究所旗下的政府資安組織 CERT 協調中心（CERT/CC）於7月6日揭露一項嚴重韌體漏洞，可讓攻擊者完全掌控多款騰達（Tenda）網路裝置的管理權限。該漏洞編號為 CVE-2026-11405，是受影響機型韌體中一條未記載於文件的認證後門，能繞過正常登入程序，在不需有效憑證的情況下存取裝置的網頁管理介面。更令人憂慮的是，目前仍無任何安全修補程式可用——這家總部位於深圳、在印度等市場佔有相當市佔率的平價網路品牌，至今未回應 CERT/CC 的通報。

受影響機型與漏洞細節

CERT/CC 列出五個受影響韌體版本，涵蓋 FH1201、W15E、AC10、AC5 及 AC6 路由器系列。本次資安公告由一位匿名研究員提報，並未將此清單視為完整名單，且由於廠商未確認受影響範圍，實際波及範圍可能更廣。

根據公告內容，該漏洞存在於路由器內建網頁伺服器中：一條未載於文件的認證程式路徑，可在不需輸入管理員密碼的情況下獲得管理存取權。

漏洞運作機制：雙重認證路徑

如同多數消費型路由器，騰達裝置提供受密碼保護的網頁管理介面，用於設定 Wi-Fi、防火牆規則、DNS 伺服器、韌體更新、連接埠轉發、家長控制等核心網路功能。由於這些介面掌控路由器大部分運作，通常設有認證機制，以防止未授權使用者進行可能危害整個家庭或企業網路的變更。

根據公告，受影響韌體一開始確實會執行正常認證，以標準 MD5 雜湊方式驗證管理員密碼。然而，當驗證失敗時，登入程序會悄悄走向第二條未記載的程式路徑——韌體不會立即拒絕登入，而是從設定金鑰 sys.rzadmin.password 中取出另一組內部儲存密碼，並直接以標準 C 函式庫的 strcmp() 函式與使用者輸入的密碼進行比對。

若輸入密碼與此隱藏值相符，韌體便立即建立具有完整權限的有效管理員工作階段。更令人擔憂的是，使用者名稱完全不會被驗證，意即只要提供隱藏密碼，任何使用者名稱均可成功登入，實際上完全繞過了路由器原本設定的管理員帳號。

刻意植入或開發遺留？意圖不明

CERT/CC 雖未公開隱藏密碼本身，但未記載的第二認證路徑的存在已大幅削弱受影響裝置的安全模型。與源自實作錯誤的傳統認證漏洞不同，此問題是一條獨立的登入路徑，而非現有路徑的缺陷，並透過既未記載、也未在管理介面中公開的憑證授予管理存取權。究竟是刻意植入或開發階段遺留的功能，目前仍不清楚。 CERT/CC 未就意圖作出任何結論，而騰達的沉默也無法釐清真相。

漏洞遭利用的潛在危害

一旦成功利用此漏洞，攻擊者將獲得對路由器設定的完整控制權，可進行以下操作：

• 修改網路設定
• 更改 DNS 伺服器，將網路流量重新導向
• 停用安全防護機制
• 替換管理員憑證
• 啟用額外的遠端存取功能

由於路由器是本地裝置與網際網路之間的閘道，一旦遭到入侵，網路上所有連線裝置都可能面臨進一步攻擊的風險。

CERT/CC 建議的緩解措施

在等待騰達官方韌體更新的同時，CERT/CC 建議：

1. 盡可能停用遠端網頁管理功能，以防攻擊者透過網際網路存取管理介面
2. 限制區域網路暴露範圍；雖然更改路由器預設 LAN IP 位址可降低自動掃描工具的機會性探測，但無法抵禦針對性網路偵察的攻擊者

供應鏈安全疑慮再起

此次漏洞揭露呼應了美國聯邦通訊委員會（FCC）於今年3月將特定外國製造網路產品列入「受涵蓋清單（Covered List）」時所提出的疑慮，相關產品因此無法取得在美進口與銷售所需的授權。FCC 認為，遭入侵的消費型路由器可讓攻擊者在家庭與小型企業網路中取得立足點。

一款廣泛銷售的網路設備中存在未記載的管理員後門，加上廠商既未修補也未回應，正是監管機構試圖解決的供應鏈安全風險類型的具體體現。

---

原文來源： 查看原文