CVE-2026-36612

Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 odpowiada na zapytania version.bind CHAOS TXT, ujawniając wersję oprogramowania DNS (unbound 1.22.0), co ułatwia ataki celowane na znane podatności.

Oprogramowanie sprzętowe routera Mercusys AC12G (EU) V1 zawiera zakodowane na stałe dane uwierzytelniające sterownika WiFi, w tym współdzielony sekret RADIUS, klucz testowy WPS i domyślny klucz PSK.

Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 udostępnia nieudokumentowany endpoint /agileconfigreset, który zwraca zawartość wewnętrznego bufora nieuwierzytelnionym atakującym w sąsiedniej sieci.

Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 zwraca 128 bajtów niezainicjalizowanego bufora wewnętrznego podczas odbierania żądań HTTP POST do niezdefiniowanych ścieżek, ujawniając stan serwera nieuwierzytelnionym atakującym w sieci lokalnej.

Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 zwraca 128 bajtów niezainicjalizowanego bufora przy odbieraniu żądań POST bez nagłówka SOAPAction na porcie UPnP 1900, ujawniając pamięć wewnętrzną nieuwierzytelnionym atakującym w sieci lokalnej.

Router Mercusys AC12G (EU) V1 z oprogramowaniem AC12G(EU)_V1_200909 przesyła poświadczenia DDNS przez zwykły tekst HTTP z tylko kodowaniem Base64. Oprogramowanie nie zawiera implementacji TLS, co umożliwia przechwycenie poświadczeń DDNS przez atakującego typu man-in-the-middle.

Router Mercusys AC12G (EU) V1 z oprogramowaniem AC12G(EU)_V1_200909 używa statycznego nonce uwierzytelniającego, który nie zmienia się między żądaniami z tego samego źródłowego adresu IP. W połączeniu z przewidywalnym kodowaniem hasła opartym na XOR (funkcja securityEncode), umożliwia to atakującemu odwrócenie przechwyconych tokenów uwierzytelniających w celu odzyskania hasła w postaci jawnego tekstu.

Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 umożliwia przez UPnP AddPortMapping przekierowanie portów zewnętrznych do własnego interfejsu administracyjnego routera, akceptując jego własny adres IP (192.168.1.1) lub localhost (127.0.0.1) jako InternalClient. Nieuwierzytelniony atakujący w sieci LAN może wystawić panel administracyjny do internetu za pomocą pojedynczego żądania SOAP.

Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 umożliwia nieuwierzytelnione ataki brute-force na endpoint zmiany hasła TDDP (code=10), który nie ma ograniczeń szybkości, w przeciwieństwie do endpointu logowania (code=7). Atakujący z sąsiedniej sieci może próbować nieskończoną liczbę haseł bez blokady konta.

Router Mercusys AC12G (EU) V1 z oprogramowaniem AC12G(EU)_V1_200909 szyfruje kopie zapasowe konfiguracji za pomocą zakodowanego na stałe klucza DES przy użyciu pojedynczego DES w trybie ECB. Osoba atakująca, która uzyska plik kopii zapasowej, może go odszyfrować, aby odzyskać wszystkie przechowywane poświadczenia, w tym hasło administratora, klucz PSK Wi-Fi i poświadczenia DDNS.