Os roteadores sem fio Tenda N300 e os dispositivos LTE portáteis 4G03 Pro enfrentam graves ameaças de segurança devido a múltiplas vulnerabilidades de injeção de comando que permitem que invasores executem comandos arbitrários com privilégios de root.
Atualmente, os dispositivos afetados não possuem patches do fornecedor, deixando os usuários vulneráveis. As vulnerabilidades resultam do tratamento inadequado da entrada do usuário em funções críticas de serviço nesses dispositivos Tenda.
Falhas de injeção de comando no Tenda N300
De acordo com o CERT/CC, os invasores podem explorar essas falhas por meio de solicitações HTTP especialmente criadas para obter controle total sobre os roteadores afetados.
CVE-2025-13207 afeta versões de firmware Tenda 4G03 Pro até v04.03.01.44 inclusive.
Um invasor autenticado pode manipular argumentos passados para funções dentro do serviço /usr/sbin/httpd.
CVE IDAProdutos afetadosTipo de vulnerabilidadeVetor de ataqueImpactCVE-2025-13207Tenda 4G03 Pro (firmware ≤v04.03.01.44)Injeção de comandoRede (porta HTTP TCP 80)Execução remota de código como rootCVE-2024-24481Tenda N300 / 4G03 Pro (firmware ≤v04.03.01.14)Command InjectionNetwork (porta TCP 7329)Execução remota de código como root
Ao enviar uma solicitação HTTP criada para a porta TCP 80, o invasor pode executar comandos arbitrários como usuário root.
CVE-2024-24481 afeta versões de firmware até v04.03.01.14 e envolve manipulação inadequada de entradas em uma função de interface web acessível.
Um invasor autenticado pode invocar esta função e enviar uma solicitação de rede criada para a porta TCP 7329, resultando na execução do comando.
Os pesquisadores da Carnegie Mellon University observam que este problema é diferente do CVE-2023-2649. A exploração bem-sucedida concede aos invasores controle total do dispositivo afetado.
Uma vez comprometidos, os invasores podem modificar as configurações do roteador, interceptar o tráfego da rede, implantar malware ou usar o dispositivo como ponto central para novos ataques à rede.
Dado que se trata de dispositivos de infraestrutura de rede, o comprometimento pode afetar todos os dispositivos conectados e dados que passam pelo roteador.
Como a Tenda não lançou patches para resolver essas vulnerabilidades, o CERT/CC recomenda várias etapas de mitigação.
Os usuários em ambientes sensíveis à segurança devem considerar a substituição dos dispositivos afetados por roteadores alternativos de outros fornecedores.
Se a substituição imediata não for possível, minimize a exposição do dispositivo limitando o acesso à rede e restringindo o uso sempre que possível.
Os usuários devem monitorar regularmente o site oficial da Tenda e os avisos de segurança para possíveis atualizações ou patches de firmware.
As vulnerabilidades foram divulgadas publicamente em 20 de novembro de 2025, e a correção do fornecedor permanece indisponível no momento.
Siga-nos no Google News, LinkedIn e X para atualizações diárias de segurança cibernética. Contate-nos para apresentar suas histórias.
