Resulta que Tenda, esa marca de routers que ves en las ferias electrónicas y en las tiendas online con precios que parecen demasiado buenos para ser verdad, tenía una sorpresa escondida en el firmware. Y no era una sorpresa graciosa.
¿Qué encontramos?
El equipo de CERT/CC descubrió que múltiples modelos de routers Tenda —incluyendo los AC5, AC6, AC10, W15E y FH1201— traen un backdoor de autenticación empotrado en el binario /bin/httpd. La función login() hace lo siguiente: primero intenta validar tu contraseña con MD5, que es lo normal. Pero si eso falla, en lugar de rechazarte, busca un valor alternativo llamado sys.rzadmin.password en la configuración del dispositivo y lo compara en texto plano con lo que escribiste. Si coincide, te da acceso de administrador con role=2. Sin verificar el usuario. Sin dejar rastro. Sin que el dueño del router se entere.
O sea, literalmente una puerta trasera con llave conocida. No es un bug accidental de un buffer overflow o un error de parsing. Es código que alguien escribió deliberadamente, compiló y distribuyó en producción.
El detalle que me tiene harto
Lo que más me llama la atención de este caso es que CERT/CC intentó contactar a Tenda y no recibió respuesta. El reporte se hizo el 19 de mayo y la vulnerabilidad se publicó el 6 de julio sin un patch disponible. Cuando un vendor ignora un aviso de seguridad de esta magnitud, el mensaje que envía es claro: no le importa.
Y acá en Chile, donde caleta de gente compra routers baratos en MercadoLibre o en tiendas de barrio sin pensar dos veces en la marca, esto es un problema real. Un router comprometido no es solo un problema del router: es la puerta de entrada a toda tu red. El atacante puede cambiar DNS, interceptar tráfico, abrir puertos, desactivar el firewall. Tu red entera queda expuesta y tú sigues pensando que tu WiFi está bacán porque el LED verde sigue parpadeando.
¿Qué puedes hacer si tienes un Tenda?
Como no hay parche, las opciones son mitigación pura:
1. Desactiva la administración remota. Si tu router tiene activado el acceso web desde internet, apágalo inmediatamente. Sin acceso remoto, el atacante necesita estar en tu red local para explotar el backdoor.
2. Cambia el rango IP por defecto. Los escanners automatizados buscan en los rangos típicos (192.168.0.x, 192.168.1.x). Cambiarlo no te protege de un ataque dirigido, pero reduce la probabilidad de que un bot te encuentre.
3. Cambia el router. Si usas uno de los modelos afectados para algo serio —tu pega, tu hogar con dispositivos IoT, tu pequeña empresa— lo más sensato es reemplazarlo. Hay opciones de marcas que responden a reportes de seguridad y publican parches. OpenWRT también es una alternativa si el hardware es compatible.
Mi opinión
Como ingeniero, esto me parece sintomático de un problema más grande. La industria de hardware de red de bajo costo opera con márgenes tan estrechos que la seguridad queda como un afterthought. Tenda no es la primera ni será la última. Ya vimos casos similares con D-Link, TP-Link y otros. La diferencia es que acá el backdoor es tan burro —strcmp en texto plano, sin ofuscación, sin siquiera intentar disimularlo— que da la impresión de que sabían que nadie iba a revisar.
El problema es que cada vez más gente revisa. Los firmware se decompilan, los binarios se analizan, y la comunidad de seguridad está más activa que nunca. Si eres vendor y piensas que meter un backdoor es una buena idea, te conviene pensar dos veces. El costo reputacional de algo así es brutal.
Para los usuarios, la lección es la de siempre: el router no es un electrodoméstico que compras y olvidas. Es la primera línea de defensa de tu red. Paga un poco más por algo que tenga soporte activo, o flashea OpenWRT si tienes el conocimiento. Pero no dejes un Tenda con firmware sin parchear cuidando la puerta de tu casa digital.
Fuente de inspiración: Tenda firmware (multiple versions) contains hidden authentication backdoor
