CVE-2026-36607 Mercusys路由器TDDP密码更改接口速率限制绕过导致未授权暴力破解

漏洞概述 CVE-2026-36607: 认证速率限制绕过通过TDDP密码更改端点 MITRE描述: Mercusys AC12G (EU) V1路由器固件AC12G(EU)_V1_200909允许通过TDDP密码更改端点进行未认证的暴力攻击。攻击者可以在相邻网络上尝试无限次密码而不触发账户锁定。 详细信息: - 路由器的TDDP (TP-Link Device Debug Protocol) HTTP接口使用不同的数字操作代码执行不同功能。 - 登录端点（code=7）在大约5次失败尝试后锁定源IP 2小时。然而，密码更改端点（code=10）执行相同的身份验证检查，但没有任何锁定机制。 - 这允许从LAN上的任何设备以网络速度进行无限暴力破解（每秒约700-1500个密码）。 - 密码编码算法使用静态XOR和硬编码盐，完全替换了路由器JavaScript源代码中的密码验证逻辑。 - 管理员密码被限制为6-32个可打印ASCII字符。 - 测试显示超过1,000,000次连续尝试未观察到锁定。 - 与CVE-2026-36604（DNS重新绑定/CORS通配符）结合使用时，此漏洞可通过受害者的浏览器从互联网利用。 影响范围 严重性: 关键 CVSS v3.1: - 分数: 9.8 - 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H CWE: - CWE-307: 不适当的过度身份验证尝试限制 - CWE-287: 不适当的身份验证 受影响产品: - 厂商: Mercusys (TP-Link子品牌) - 产品: AC12G (EU) V1 - 测试固件: AC12G(EU)_V1_200909, AC12G(EU)_V1_210128 - 组件: TDDP HTTP身份验证处理程序，密码更改端点（code=10） - 状态: 生命周期结束（无修复计划） 影响: - 成功暴力破解后获得完整的管理员访问权限 - 无锁定或检测机制提醒用户 - 任何LAN设备（包括受感染的IoT设备）都可以执行此攻击 - 后利用：DNS劫持、防火墙操纵、WiFi凭证提取、固件修改 修复方案 1. 对code=10应用与code=7相同的速率限制 2. 在处理密码更改请求之前要求活跃的已认证会话 3. 在所有身份验证验证端点实施账户锁定 发现者 Tymbark7372 参考链接 https://github.com/Tymbark7372/MERCUSYS-AC12G

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2026-36607 Mercusys路由器TDDP密码更改接口速率限制绕过导致未授权暴力破解

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2026-36607 Mercusys路由器TDDP密码更改接口速率限制绕过导致未授权暴力破解

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！