Tenda AC1206 ja AC18 routerites on avastatud kolm kriitilist haavatavust, mis võimaldavad autentimise möödastamise ja seadme täieliku kontrolli. Loe riskid.

Küberturvalisuse maastik on pidevas muutumises, kuid mõned põhilised vead korduvad ikkalt ka tänapäevastes võrguseadmetes. Hiljutised teated viitavad tõsisele turvaaukude seeria avastamisele Tenda võrgurouterites, mis paneb tõdele vajaduse kriitilise läbivaatuse ettevõtete ja kodukasutajate võrgupärandile. Probleem ei ole lihtsalt teoreetiline, kuna avalikustatud Proof of Concept (PoC) koodid võimaldavad rünnaku teostamist praktikas.

Kriitilised puudused Tenda AC seadmetes

Keskseks probleemiks on kolm uut haavatavust, mis puudutavad konkreetselt mudileid Tenda AC1206 ja Tenda AC18. Turvaekspertide ja agentuuride analüüsi kohaselt on tegemist tõsiste puudustega, millele on määratud CVSS v3.x skoor 10. See on kõrgeim võimalik hindamine, mis tähistab kriitilist riski, kus rünnaku teostamine ei nõua kasutajalt suuri ressursse ega keerukatte ettevalmistust.

Haavatavused on klassifitseeritud kui autentimise puudumise (Missing Authentication) tüüpi. See tähendab, et rünnaja võib pääseda seadme haldusfunktsioonidele ilma vajaliku kasutajanime ja parooli sisestamise. Eriti ohtlik on see asjaolu ettevõtetes, kus seadmeid on paigaldatud kiiresti ilma põhjaliku turvakonfiguratsioonita, jättes administraatori säted vaigväärtustele.

Kuidas CVE-2026-82693 ja CVE-2026-82695 toimivad

Kaks neist haavatavust, tähistusega CVE-2026-82693 ja CVE-2026-82695, on suunatud TendaTelnet-funktsiooni, mis asub seadmete veebipõhises kasutajaliideses (Web UI). Need puudused aktiveeruvad konkreetsetes mudelites AC1206 ja AC18 juhul, kui web-admin parooli pole veel konfigureeritud.

Kui kurikuume kasutaja neid haavatavusi kasutab, saab ta aktiveerida Telnet-teenuse, mis on vananenud ja ebakaitsetu viis seadmega suhtlemiseks. Telneti aktiveerimine laiendab märgatavalt seadme rünnakupinda, võimaldades rünnaja mööda minna olemasolevatest autentimismehhanismidest. See loob otsetee seadme süsteemivõrgusse, kus saab edasi liiguda ja sisevõrgu teisi komponente kompromitteerida.

Administraatori õiguste võtmine läbi CVE-2026-82694

Veelgi ohtlikum on haavatavus CVE-2026-82694, mis puudutab mudelit Tenda AC1206. See puudus paikneb R7WebsSecurityHandler komponendis, täpsemalt ressuris /goform/ate. Sarnaselt eelmistega tekib risk siis, kui administraatori parooli pole määratud.

Selle haavatavuse abil saab autentimata rünnaja täita administraatori tasandi toiminguid. See ei piirdu vaid vaatamisega, vaid võimaldab teostada aktiivseid muudatusi seadme töötamisse. Rünnaja võimekused on siinkohal väga laia spektriga:

Ta võib seadme restartida, taastada tehaseseaded, muuta NVRAM-i konfiguratsiooni ning manipuleerida võrguseadete ja juhtsetu ühenduse sättningutega. See tähendab, et rünnaja saab tekitada teenuse katkestuse (Denial of Service) või suunata võrguliikluse läbi oma kontrollitava kanalite, mis avab ukse man-in-the-middle rünnakutele.

Mõjutatud versioonid ja riskide hindamine

Turvauuringud on tuvastanud, et risk on kõige suurem järgmiste versioonide puhul:

Tenda AC1206 versioon 15.03.06.23 ja Tenda AC18 versioon 15.03.05.19. On oluline märkida, et kuigi tegemist on konkreetsete versioonidega, võib sarnane loogika esineda ka teistes seadmeiteratsioonides, kui autentimise kontrollid on läbinähtavad või puuduvad.

Kuna PoC-id on avalikustatud, on rünnaku tõenäosus kasvanud. See ei nõua enam null-päevase haavatavuse leidmist, vaid võimaldab isegi vähese tehnilise teadmistega isikule kasutada valmis tööriistu seadmete skanneerimiseks ja kompromitteerimiseks. Acn hoiatuse kohaselt on oluline tegutseda kiiresti, et vältida volitamata pääsu.

Kuidas kaitsta oma võrguseadmeid

Esimene ja kõige olulisem samm on kontrollida, kas seadme administraatori parool on määratud. Kuna kõik kolm kriitilist haavatavust sõltuvad sellest, et web-admin parooli pole konfigureeritud, on selle määramine tõhusaim esmane kaitsemeetod. See katkestab rünnaku vektori juba alguses.

Järgnevalt tuleks kontrollida tarkvarauuendusi. Kui tootja on väljastanud uue versiooni, tuleb see koheselt installida. Kui uuendust ei ole veel saadaval, on soovitatav piirata ligipääsu seadme haldusliidesse, et see ei oleks avaliku interneti kaudselt kättesaadav. VPN-i kasutamine haldusliidesse sisenemiseks on standardne praktika, mis vähendab oluliselt riskisid.

Küberturvalisus algab seadme baaskonfiguratsioonist. Jätkamine vaigväärtustega on kutse rünnaja jaoks, kes kasutab automatiseeritud tööriistu haavatavuste leidmiseks.

Mida see tähendab Eesti ja Balti riikide ettevõtetele

Eesti ja Balti riikide digiekosüsteem on tuntud oma kõrge digitaliseerimisastme ja e-riigi lahenduste poolest. Kuid just see tekee meid haavatavaks, kui infrastruktuuri alumised kihid, nagu võrgurouterid, jäävad tähelepanuta. Paljud väikesed ja keskmised ettevõtted Baltikumis kasutavad kulutajate tasemel seadmeid, mis ei paku ettevõtelisüsteemidele omast turvataset.

Kontekstis, kus Euroopa Liidu AI Act ja teised regulatsioonid tõukavad meid suurema andmekaitse ja süsteemilise turvalisuse poole, ei saa lubada, et üks lihtne konfigureerimata router oleks nõrguspunkt. e-Estonia mudel põhineb usalduslikkuse ja krüptograafia põhimõttel, kuid see usaldus katkeb, kui võrguliiklus on kompromitteeritud juba seadme tasemel.

Kohalike ettevõtjate jaoks on see meeldetuletus, et küberhügieen ei ole ühekordne tegevus, vaid pidev protsess. Balti riikide ettevõtjad peaksid rakendama rangemaid standardeid riistvara valikule ja konfigureerimisele, vältides seadmeid, mille turvaaukude parandamine on aeglane või puudulik. Digitaalne suveräänsus algab kontrollist üle oma kohaliku võrguseadmete.

Korduma kippuvad küsimused

---

Allikad: Acn ·