CVE-2026-36607: Mercusys AC12G Router TDDP Password Change Endpoint Rate Limit Bypass Leading to Unauthenticated Brute-Force

脆弱性概要 CVE-2026-36607：通过 TDDP 密码变更端点绕过认证速率限制 MITRE 描述: Mercusys AC12G (EU) V1 路由器固件 AC12G(EU)_V1_200909 允许通过 TDDP 密码变更端点执行未认证的暴力破解攻击。攻击者可以在相邻网络上无限次尝试密码，而不会触发账户锁定。 详细信息: - 路由器的 TDDP (TP-Link Device Debug Protocol) HTTP 接口使用不同的数字操作代码来执行不同功能。 - 登录端点（code=7）在大约 5 次失败尝试后会将源 IP 锁定 2 小时。然而，密码变更端点（code=10）执行相同的身份验证检查，但没有任何锁定机制。 - 这使得局域网上的任何设备都能以网络速度进行无限暴力破解（约每秒 700-1500 个密码）。 - 密码编码算法使用静态 XOR 和硬编码盐值，并在路由器的 JavaScript 源代码中完全替换了密码验证逻辑。 - 管理员密码被限制为 6-32 个可打印 ASCII 字符。 - 测试显示，即使进行超过 1,000,000 次连续尝试，也未观察到锁定现象。 - 与 CVE-2026-36604（DNS 重新绑定/CORS 通配符）结合使用时，此漏洞可通过受害者的浏览器从互联网进行利用。 影响范围 严重性: 关键 CVSS v3.1: - 分数: 9.8 - 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H CWE: - CWE-307: 不适当的过度身份验证尝试限制 - CWE-287: 不适当的身份验证 受影响产品: - 厂商: Mercusys (TP-Link 子品牌) - 产品: AC12G (EU) V1 - 测试固件: AC12G(EU)_V1_200909, AC12G(EU)_V1_210128 - 组件: TDDP HTTP 身份验证处理程序，密码变更端点（code=10） - 状态: 生命周期结束（无修复计划） 影响: - 成功暴力破解后获得完整的管理员访问权限 - 无锁定或检测机制提醒用户 - 任何局域网设备（包括受感染的 IoT 设备）都可以执行此攻击 - 后利用：DNS 劫持、防火墙操纵、WiFi 凭证提取、固件修改 修复方案 1. 对 code=10 应用与 code=7 相同的速率限制 2. 在处理密码变更请求之前要求活跃的已认证会话 3. 在所有身份验证验证端点实施账户锁定 发现者 Tymbark7372 参考链接 https://github.com/Tymbark7372/MERCUSYS-AC12G

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-36607: Mercusys AC12G Router TDDP Password Change Endpoint Rate Limit Bypass Leading to Unauthenticated Brute-Force

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-36607: Mercusys AC12G Router TDDP Password Change Endpoint Rate Limit Bypass Leading to Unauthenticated Brute-Force

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！