Lenovo ThinkPad Stack Router

Rétro-ingénierie du module routeur du ThinkPad Stack — extraction firmware, accès root, source GPL publiée, portage envisagé.

Ressources :

• https://www.thinkwiki.org/wiki/ThinkPad_Stack

Démontage¶

Ouverture du module routeur (18/02/2024).

Album photos

Ce que les marquages corrigent ou confirment :

• EC : la puce est une IT8586E. Le ITE8566 du firmware et du code source GPL est le nom du driver, pas la référence silicium.

• Dual-band : il n’est pas porté par le seul RTL8881A. Une radio RTL8192ER discrète (2,4 GHz) complète le SoC (5 GHz) — ce qui explique la scission mib_rf (2,4 GHz) / mib_rf_ac (5 GHz) et l’attribution wlan0 = 5 GHz, wlan1 = 2,4 GHz.

• Flash / RAM : la NOR Winbond 16 Mio et la DDR 128 Mio recoupent exactement le layout MTD et le MemTotal relevés en fonctionnement.

Connecteur pogo (repérage au multimètre) : USB + 3V3 + 5V + GND.

Identification¶

Nom de projet interne : Poker Preuve : path de build …/poker-1.1.3.4/Poker/rtl819x/linux-2.6.30

Connectique pogo — empilement des modules¶

Les autres modules du Stack (powerbank, disque dur, enceinte, projecteur) se raccordent par connecteur pogo. Le routeur n’a pas de batterie propre, pourtant son EC (/proc/ite8566_PowerSource, ite8566_RelativeStateOfChg) rapporte un état de charge — il ne peut donc lire que la batterie d’un module empilé. L’ITE8566 du routeur est ainsi probablement le négociateur d’empilement (alim + charge), pas un simple contrôleur de LEDs.

Pas de bus vidéo. Le projecteur est un PC x86 autonome (Intel Z8550, son propre GPU) qui génère sa propre image ; le pilotage inter-modules passe par le réseau (Wi-Fi, JSON), pas par les broches. Les pogo portent l’énergie et l’USB, à priori rien d’autre.

Plateforme¶

Le RTL8881A est un SoC MIPS à WiFi intégré — pas un RTL8196/8197 générique. C’est ce qui exclut OpenWrt. Le NIC Ethernet interne est rapporté comme 8196C par le driver (Probing RTL8186… chip name: 8196C) — même IP interne, pas une puce séparée.

Logiciel¶

Voir Lenovo ThinkPad Stack Assistant.

Flash — layout réel (dump MTD)¶

Trois partitions MTD sur la NOR 16 Mio :

mtd0: 00240000 00001000 "boot+cfg+linux"
mtd1: 009c0000 00001000 "root fs"
mtd2: 00400000 00001000 "jffs2"

/proc/cmdline : console=ttyS0,115200 root=/dev/mtdblock1 cgroup_enable=memory → le rootfs est mtd1, monté directement en SquashFS (pas de pivot initrd).

Dans mtd0, deux LZMA : un petit blob à 0x1B00 (= boot monitor Realtek, gère recovery/OTA bas niveau — chaînes Jump to image start=0x%x, layout flash) et le gros à 0x42818 (= kernel + initrd, 4,3 Mio décompressés). Les offsets diffèrent du conteneur OTA (0x2818) : ici on est sur la partition crue, pas le wrapper fw.bin.

Extraction¶

# rootfs (mtd1) — SquashFS LZMA standard, unsquashfs natif suffit
binwalk --extract mtd1.bin          # ou unsquashfs -d rootfs mtd1.bin

# kernel (mtd0) — LZMA à 0x42818
binwalk --extract mtd0.bin          # decompressed.bin @ 42818 = kernel raw

# jffs2 (mtd2) — NE PAS parser offline (voir plus bas)

jffs2 : le dump offline est piégeux (jefferson force le mauvais endianness, je_tools non packagé sur Arch). Le magic 19 85 20 03 est little-endian. La méthode fiable : /var est déjà monté rw sur le box → on sert les fichiers via Boa, pas de parsing.

Firmware — conteneurs OTA / recovery¶

Conteneur sw_fw.bin (Source: APK Levono Stack Assistant) et fw.bin (Source: OTA réseau), structure identique :

OTA ≠ recovery (même version)¶

Le recovery est 3,5 mois plus récent que l’OTA sous le même numéro 1.1.3.4. Le router.cgi des deux builds a des chaînes identiques (aucun patch de sécurité entre les deux) → le header est un conteneur, pas une signature. Un repack custom passe par le POST OTA.

• OTA :

  • http://download.lenovo.com/lenovostack/UpdateInfo.txt

  • Contenu:

    • 1.1.3.4 http://download.lenovo.com/lenovostack/fw.bin e40361e79be51b83de63e1a5fbb1ac9e

    • Soit: <version> <url> <md5>

      • MD5 seul, aucune signature.

Accès root¶

Trivial, confirmé.

• rcS lance telnetd inconditionnellement au boot : [ -f /bin/telnetd ] && /bin/telnetd&

• Credentials : root:root (hash $1$ cracké en < 1 min sous John).

• Boa tourne en User root → toute RCE CGI = uid 0.

Mécanique d’authentification (contre-intuitive)¶

• /bin/login (busybox) lit passwd, pas shadow. Le hash root actif est donc celui de /var/passwd ($1$se4gYKJy$… = root).

• /var/shadow est un leurre : rcS fait cp /etc/shadow.sample /var/shadow à chaque boot → son contenu ($1$KEKJV2R0$…) est écrasé au boot et ne sert jamais à l’auth.

• Compte backdoor IwgfHEmI (uid 1000) : x dans passwd (hash attendu dans shadow) mais absent de shadow → busybox le traite comme un compte sans mot de passe. C’est probablement le compte de test usine.

# Telnet direct (root:root)
telnet 192.168.33.254

Configuration persistante — format COMPCS¶

/var/config.dat (~9,7 Ko) = blob sérialisé Realtek, magic COMPCS, pas compressé (le lzma échoue — c’est un format à table d’offsets little-endian, lisible en strings). Les champs texte (Stackable Router, Lenovo, admin, SSID, PSK) sont en clair, entrecoupés de pointeurs d’offset croissants.

strings -a -t x config.dat | grep -iE 'stack|lenovo|admin|ssid|psk|passw'

Le parseur exact est dans le source GPL du router.cgi (fonction de lecture de config.dat) → format documentable sans rétro-ingénierie aveugle. Pour le port : soit reproduire le parseur, soit remplacer par un store propre.

Le reste de la config live vit dans /var (jffs2 monté) : wpa-wlan0.conf / wpa-wlan1.conf (PSK en clair, usePassphrase=0), passwd, wsc-*.conf.

WiFi — bandes & procfs¶

Attribution des bandes

Le procfs du driver built-in est /proc/wlan0/ (répertoire de MIBs), pas /proc/rtl8192cd/. La variante RF se lit dans mib_rf :

cat /proc/wlan0/mib_rf       # → chipVersion: RTL8881AN, MIMO_TR_mode: 2T2R
cat /proc/wlan0/mib_rf_ac    # tables 5 GHz (VHT)
cat /proc/rf_switch          # commutation PA/LNA double bande

Protocole — dispatcher router.cgi¶

Surface applicative unique, sans authentification :

GET/POST /cgi-bin/router.cgi?method=<action>   (~80 actions)

Le CGI lit QUERY_STRING → dispatche sur method=. Les commandes shell sont construites via sprintf/strcpy sur des %s issus de la requête, puis passées à system/popen/execl. Chaque %s non filtré = command injection root.

Pont projecteur — ITE8566¶

Le DLP est pilotable via le routeur, sans passer par l’Android :

Le routeur commande le projecteur via l’ITE Tech ITE8566. Le DLP n’est pas un front matériel isolé — c’est un fichier procfs du routeur.

Cloud à neutraliser pour le portage¶

Auth à deux modes : admin local OU lenovoid cloud (change_router_login_type).

Sur l’unité analysée, le cloud n’a jamais été appairé : /var/private, /var/myca, /var/cwmp_config, /var/cwmp_default sont vides. L’étape « neutraliser le cloud » se réduit donc à ne pas embarquer les binaires (reachit, reachsync, sslclient, dlserver, cwmp) au recompile — rien à désauthentifier.

GPL — source complète publiée¶

Lenovo a livré la source correspondante intégrale.
(Conformité quasi complète, ce qui est asssez rare pour le noter !)

Source : https://support.lenovo.com/us/en/downloads/DS105234

Le driver de la puce exacte est en .c compilable — 9 fichiers de HAL dédiés RTL8881A (Hal8881AGen.c, Hal8881APhyCfg.c, Hal8881ATxDesc.c…). Le seul binaire restant est le microcode radio, comme tout driver WiFi (iwlwifi, ath9k, rtw89).

Verdict portage¶

• OpenWrt / LEDE : non — pas de target RTL8881A, pas de pilote WiFi libre pour ce SoC intégré.

• NetBSD / BSD, mainline + rtw89 : non — pas de portage, rtw89 ne couvre pas ce SoC MIPS.

• Voie réaliste : reconstruction complète depuis la source GPL, toolchain rsdk-1.5.5 fournie → portage « quasi-libre ».

Cible du portage (dépropriétarisation) :

1. Recompiler kernel + userspace + driver WiFi (reproductibilité byte-level), table 8881AN.

2. Supprimer le cloud Lenovo : reachit, sslclient, TR-069 (cwmp), OTA (ne pas les embarquer).

3. Remplacer :

   • telnet → dropbear

   • Boa → uhttpd

4. Garder uniquement le microcode radio (incontournable).

Port du driver rtl8192cd vers OpenWrt moderne : non viable — le driver est couplé au framework propriétaire net80211 (iwpriv), incompatible avec mac80211/nl80211 d’OpenWrt. La source est nécessaire mais pas suffisante : ce serait une réécriture mac80211 + un target SoC RTL8881A à créer, pas un portage. La source du WiFi sert au rebuild depuis le SDK (audit, patch, recompile), pas à un portage OpenWrt.

Ordre d’attaque¶

1. Dump flash (RCE find_files ou telnet root:root) → mapper /proc/mtd, backup, lire la variante radio (/proc/wlan0/mib_rf).

2. Build toolchain rsdk-1.5.5 → recompiler le code source GPL et valider la reproductibilité.

3. Repack avec squashfs-tools recompilé, en retirant le cloud.

Le routeur est entièrement ouvert : root trivial, source GPL complète, driver WiFi en .c. Le seul front restant est le microcode radio — structurel, comme partout. Tout le reste est identifié, documenté et de difficulté bornée.