Tenda AC19 router’da 10 puanlık kritik açık

Tenda’nın çift bantlı AC19 gigabit router’ında, cihaza ağ üzerinden erişebilen herkesin tek bir istek göndererek cihazı çökertmesine yol açan bir bellek taşması açığı ortaya çıktı. CVE-2026-123966 numarasıyla kaydedilen açık 7 Kasım’da NVD veritabanına girdi ve CVSS 3.1 puanı 10.0. Açığın nasıl kullanılacağını gösteren örnek kod ise Ekim ortasından bu yana GitHub’da herkese açık duruyor.

Açık nerede

Sorun, router’ın web yönetim arayüzündeki ebeveyn denetimi kaydını işleyen /goform/saveParentControlInfo adresinde. Cihaz, bu adrese gelen deviceId parametresini uzunluğunu hiç kontrol etmeden 596 baytlık bir heap tamponuna kopyalıyor. Parametre sınırı aşınca komşu bellek alanları bozuluyor. Aynı istekte gönderilen time ve urls alanları da benzer şekilde denetimsiz kopyalanıyor; araştırmacının analizine göre bunlar 4 baytlık yığın tamponlarına sınırsız yazıyor.

Açığı kritik yapan ayrıntı, bu adresin oturum açmayı hiç istememesi. Yani router’ın arayüzüne ulaşabilen biri, kullanıcı adı ve parola bilmeden bu isteği gönderebiliyor. Kod, cihazın yönetim servisi içinde ve yüksek yetkilerle çalıştığı için hata sadece servisi düşürmekle kalmıyor; bellek bozulmasının kontrollü biçimde kullanılması hâlinde uzaktan kod çalıştırmaya kadar uzanabilecek bir zemin oluşturuyor.

Görülen etki

Araştırmacı, 600 baytlık değerlerle hazırladığı isteği test cihazına gönderdiğinde router’ın web arayüzü kısa süreliğine erişilemez hale geliyor ve cihaz kendini yeniden başlatıyor. Bu, sürekli tekrarlanması durumunda ağın düzenli olarak kesilmesi anlamına geliyor: evdeki internet bağlantısı düşüyor, bağlı kamera ve akıllı ev cihazları çevrimdışı kalıyor. Yineleyen istekler cihazı yönetilemez hâle getirebiliyor.

Hangi cihazlar etkileniyor

Açık, AC19’un 16.03.10.07 sürümlü yazılımında doğrulandı. Tenda’nın bu model için daha yeni bir yazılım yayımlayıp yayımlamadığı net değil; NVD kaydında üreticiye ait yalnızca ana sayfa bağlantısı var, bir güvenlik duyurusu ya da yama notu yer almıyor. Bu nedenle şu an “güncelleyin, kurtulursunuz” denebilecek bir sürüm bilgisi bulunmuyor.

Cihazın varsayılan yönetim adresi 192.168.0.1. Açık, arayüze ağ erişimi gerektirdiği için doğrudan internetten gelen bir saldırıyla değil, aynı ağdaki ya da ağa sızmayı başarmış bir saldırganla tetiklenebiliyor. Yine de modemde uzaktan yönetim açıksa kapı doğrudan dışarıya da açılabiliyor.

Ne yapmalı

AC19 kullananlar için ilk adım Tenda’nın destek sayfasından modelin yazılım sürümünü kontrol etmek ve 16.03.10.07’den yeni bir sürüm varsa yüklemek. Yeni sürüm yoksa cihazın arayüzünde uzaktan yönetim seçeneğini kapatmak, yönetim parolasını varsayılan değerden değiştirmek ve mümkünse router’ı ayrı bir ağ bölümünde tutmak riski azaltıyor. Cihazın kendiliğinden yeniden başlaması ya da arayüzün sebepsiz açılmaması bu açığın kullanıldığına işaret edebilir.

Router’ın artık desteklenmediğini düşünenler için en sağlam çözüm, yazılım desteği süren bir modelle değiştirmek. Aynı gün TOTOLINK’in CA300-PoE erişim noktasında da benzer bir taşma açığı duyuruldu; bu tür küçük ofis ve ev ağ cihazlarında ürün yazılımı takibini elden bırakmamak gerekiyor.

Kaynak: NVD · araştırmacı raporu