Các thiết bị định tuyến không dây Tenda N300 và thiết bị LTE di động Tenda 4G03 Pro đang đối mặt với những mối đe dọa bảo mật nghiêm trọng từ nhiều lỗ hổng CVE dạng command injection. Những lỗ hổng Tenda này cho phép kẻ tấn công thực thi các lệnh tùy ý với đặc quyền root, tiềm ẩn nguy cơ kiểm soát hoàn toàn thiết bị.

Hiện tại, các thiết bị bị ảnh hưởng chưa nhận được bản vá từ nhà cung cấp Tenda, khiến người dùng tiếp tục dễ bị tấn công. Các lỗ hổng này phát sinh do việc xử lý đầu vào người dùng không đúng cách trong các chức năng dịch vụ quan trọng trên các thiết bị Tenda.

Tổng Quan về Lỗ Hổng Command Injection trên Tenda

CVE-2025-13207: Khai Thác Dịch Vụ HTTPD

Lỗ hổng CVE-2025-13207 ảnh hưởng đến firmware của Tenda 4G03 Pro, bao gồm các phiên bản lên đến và cả v04.03.01.44. Kẻ tấn công đã xác thực có thể thao túng các đối số được truyền tới các hàm trong dịch vụ /usr/sbin/httpd.

Bằng cách gửi một yêu cầu HTTP được tạo sẵn tới cổng TCP 80, kẻ tấn công có khả năng thực thi các lệnh tùy ý với tư cách người dùng root. Lỗ hổng Tenda này cho phép kiểm soát sâu rộng hệ thống.

• Thiết bị bị ảnh hưởng: Tenda 4G03 Pro
• Phiên bản Firmware: Lên đến và bao gồm v04.03.01.44
• Cơ chế khai thác: Thao túng đối số trong /usr/sbin/httpd
• Cổng khai thác: TCP 80
• Đặc quyền: Root

Để biết thêm chi tiết kỹ thuật về CVE-2025-13207, có thể tham khảo NVD – CVE-2025-13207.

CVE-2024-24481: Lỗ Hổng Giao Diện Web

CVE-2024-24481 ảnh hưởng đến các phiên bản firmware lên đến v04.03.01.14. Lỗ hổng này liên quan đến việc xử lý đầu vào không đúng cách trong một chức năng giao diện web có thể truy cập.

Một kẻ tấn công đã xác thực có thể gọi chức năng này và gửi một yêu cầu mạng được tạo sẵn tới cổng TCP 7329, dẫn đến thực thi lệnh từ xa (remote code execution). Các nhà nghiên cứu từ Đại học Carnegie Mellon lưu ý rằng vấn đề này khác biệt với CVE-2023-2649.

• Thiết bị bị ảnh hưởng: Tenda N300 và Tenda 4G03 Pro (các phiên bản firmware liên quan)
• Phiên bản Firmware: Lên đến v04.03.01.14
• Cơ chế khai thác: Xử lý đầu vào sai trong chức năng giao diện web
• Cổng khai thác: TCP 7329
• Đặc quyền: Root

Thông tin chi tiết về CVE-2024-24481 có sẵn tại NVD – CVE-2024-24481.

Hệ Quả Nghiêm Trọng của Việc Chiếm Quyền Điều Khiển

Việc khai thác thành công các lỗ hổng Tenda này cấp cho kẻ tấn công toàn quyền kiểm soát thiết bị bị ảnh hưởng. Sau khi bị xâm nhập, kẻ tấn công có thể thực hiện nhiều hành vi độc hại, gây ra rủi ro bảo mật nghiêm trọng cho toàn bộ mạng. Đây là một mối đe dọa mạng lớn cho người dùng.

• Thay đổi cấu hình router: Kẻ tấn công có thể sửa đổi cài đặt mạng, chuyển hướng lưu lượng hoặc thay đổi mật khẩu quản trị.
• Chặn lưu lượng mạng: Toàn bộ dữ liệu đi qua router có thể bị chặn và giám sát, dẫn đến rò rỉ thông tin nhạy cảm.
• Triển khai mã độc: Thiết bị có thể bị sử dụng để cài đặt phần mềm độc hại, biến nó thành một phần của botnet hoặc điểm xuất phát cho các cuộc tấn công khác.
• Sử dụng làm điểm tấn công trung tâm: Do các thiết bị này là cơ sở hạ tầng mạng, việc bị chiếm quyền điều khiển có thể ảnh hưởng đến tất cả các thiết bị được kết nối và dữ liệu truyền qua router, mở đường cho các cuộc tấn công mạng sâu rộng hơn.

Biện Pháp Giảm Thiểu và Khuyến Nghị

Vì Tenda chưa phát hành bản vá bảo mật để khắc phục các lỗ hổng này, CERT/CC đã đưa ra một số bước giảm thiểu quan trọng. Đây là những khuyến nghị thiết yếu để bảo vệ hệ thống khỏi các mối đe dọa từ lỗ hổng Tenda.

Theo khuyến nghị từ CERT/CC, người dùng nên xem xét các biện pháp sau:

• Thay thế thiết bị: Đối với môi trường nhạy cảm về bảo mật, nên cân nhắc thay thế các thiết bị Tenda bị ảnh hưởng bằng router từ các nhà cung cấp khác đã có bản vá hoặc được hỗ trợ tốt hơn.
• Giảm thiểu mức độ phơi nhiễm: Nếu việc thay thế ngay lập tức không khả thi, hãy hạn chế tối đa việc tiếp xúc của thiết bị với mạng bên ngoài. Điều này bao gồm giới hạn truy cập mạng và hạn chế sử dụng trong các tình huống không cần thiết.
• Giám sát và cập nhật: Người dùng cần thường xuyên theo dõi trang web chính thức của Tenda và các thông báo bảo mật để tìm kiếm các bản cập nhật firmware hoặc bản vá tiềm năng trong tương lai, nhằm duy trì an ninh mạng.

Các lỗ hổng Tenda này đã được công bố công khai vào ngày 20 tháng 11 năm 2025. Đến thời điểm hiện tại, nhà cung cấp vẫn chưa cung cấp biện pháp khắc phục chính thức.