CVE-2026-36609
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Router Mercusys AC12G (EU) V1 z oprogramowaniem AC12G(EU)_V1_200909 używa statycznego nonce uwierzytelniającego, który nie zmienia się między żądaniami z tego samego źródłowego adresu IP. W połączeniu z przewidywalnym kodowaniem hasła opartym na XOR (funkcja securityEncode), umożliwia to atakującemu odwrócenie przechwyconych tokenów uwierzytelniających w celu odzyskania hasła w postaci jawnego tekstu.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości odzyskania hasła administratora routera, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem sieciowym i dalszego ataku na sieć wewnętrzną.
Rekomendacja
Natychmiast zaktualizuj oprogramowanie routera do najnowszej dostępnej wersji. Jeśli producent nie udostępnia łatki, rozważ wymianę urządzenia na model z aktualnym wsparciem.
Inne podatności w Mercusys AC12G
Zobacz wszystkie- CVE-2026-36618Średnie
Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 odpowiada na zapytania version.bind CHAOS TXT, ujawniając wersję oprogramowania DNS (unbound 1.22.0), co ułatwia ataki celowane na znane podatności.
- CVE-2026-36616Średnie
Oprogramowanie sprzętowe routera Mercusys AC12G (EU) V1 zawiera zakodowane na stałe dane uwierzytelniające sterownika WiFi, w tym współdzielony sekret RADIUS, klucz testowy WPS i domyślny klucz PSK.
- CVE-2026-36615Średnie
Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 udostępnia nieudokumentowany endpoint /agileconfigreset, który zwraca zawartość wewnętrznego bufora nieuwierzytelnionym atakującym w sąsiedniej sieci.
- CVE-2026-36613Średnie
Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 zwraca 128 bajtów niezainicjalizowanego bufora wewnętrznego podczas odbierania żądań HTTP POST do niezdefiniowanych ścieżek, ujawniając stan serwera nieuwierzytelnionym atakującym w sieci lokalnej.
- CVE-2026-36612Średnie
Router Mercusys AC12G (EU) V1 domyślnie włącza WPS 2.0 z słabą polityką blokady (60-sekundowa blokada po 10 próbach).
- CVE-2026-36611Wysokie
Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 zwraca 128 bajtów niezainicjalizowanego bufora przy odbieraniu żądań POST bez nagłówka SOAPAction na porcie UPnP 1900, ujawniając pamięć wewnętrzną nieuwierzytelnionym atakującym w sieci lokalnej.
- CVE-2026-36610Średnie
Router Mercusys AC12G (EU) V1 z oprogramowaniem AC12G(EU)_V1_200909 przesyła poświadczenia DDNS przez zwykły tekst HTTP z tylko kodowaniem Base64. Oprogramowanie nie zawiera implementacji TLS, co umożliwia przechwycenie poświadczeń DDNS przez atakującego typu man-in-the-middle.
- CVE-2026-36608Wysokie
Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 umożliwia przez UPnP AddPortMapping przekierowanie portów zewnętrznych do własnego interfejsu administracyjnego routera, akceptując jego własny adres IP (192.168.1.1) lub localhost (127.0.0.1) jako InternalClient. Nieuwierzytelniony atakujący w sieci LAN może wystawić panel administracyjny do internetu za pomocą pojedynczego żądania SOAP.
- CVE-2026-36607Wysokie
Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 umożliwia nieuwierzytelnione ataki brute-force na endpoint zmiany hasła TDDP (code=10), który nie ma ograniczeń szybkości, w przeciwieństwie do endpointu logowania (code=7). Atakujący z sąsiedniej sieci może próbować nieskończoną liczbę haseł bez blokady konta.
- CVE-2026-36606Wysokie
Router Mercusys AC12G (EU) V1 z oprogramowaniem AC12G(EU)_V1_200909 szyfruje kopie zapasowe konfiguracji za pomocą zakodowanego na stałe klucza DES przy użyciu pojedynczego DES w trybie ECB. Osoba atakująca, która uzyska plik kopii zapasowej, może go odszyfrować, aby odzyskać wszystkie przechowywane poświadczenia, w tym hasło administratora, klucz PSK Wi-Fi i poświadczenia DDNS.
Oryginalny opis (angielski, źródło NVD)
Mercusys AC12G (EU) V1 router with firmware AC12G(EU)_V1_200909 uses a static authentication nonce that does not change between requests from the same source IP. Combined with the predictable XOR-based password encoding (securityEncode function), this allows an attacker to reverse captured authentication tokens to recover the plaintext password.