r   e   k   l   a   m   a
r   e   k   l   a   m   a

32764 otwiera się od jednego pakietu: bożonarodzeniowa luka w routerach wróciła na Wielkanoc

Strona główna AktualnościOPROGRAMOWANIE

Ostatnie święta Bożego Narodzenia przyniosły użytkownikom 24 popularnych modeli routerów niemiłą niespodziankę – furtkę ukrytą w ich firmware, pozwalającą na zresetowanie konfiguracji urządzenia i uzyskanie zdalnego dostępu do panelu administracyjnego. Według producentów felernych urządzeń, luka została załatana w kolejnych aktualizacjach oprogramowania. Według jej odkrywcy, Eloi Vanderbreckena, nie do końca. Na święta Wielkiej Nocy użytkownicy tego sprzętu mogli cieszyć się „odgrzewanym” prezentem spod choinki. Furtka nie tylko nie została usunięta, ale ukryto ją głębiej.

Przypomnijmy – Vanderbrecken, ekspert od bezpieczeństwa z firmy Synacktiv Digital Security, odwiedzając swoją rodzinę podczas Bożego Narodzenia, odkrył przypadkiem w używanym przez jego rodziców punkcie dostępowym Linksys WAG200G, że urządzenie to nasłuchuje na nieudokumentowanym porcie (32764) i można w ten sposób wysłać mu polecenia sterujące bez konieczności uwierzytelnienia się.

Gdy Vanderbrecken opublikował swoje odkrycie, szybko okazało się, że ta sama furtka tkwi w innych urządzeniach zawierających modem DSL wyprodukowany przez chińską firmę Sercomm. Wśród nich były popularne routery od Cisco (w tym modele sprzedawane pod marką Linksys), Netgeara i Diamonda. Łatki dla tych wszystkich urządzeń wydane zostały w styczniu.

r   e   k   l   a   m   a

Z jakiegoś jednak tajemniczego powodu, łatki dla furtki wcale jej nie usunęły, lecz jedynie ukryły przed pobieżną inspekcją. Eloi Vanderbrecken swoją analizę tego, co zostało zrobione, opublikował w dostępnej tutaj prezentacji. W skrócie można powiedzieć, że łatka, która miała furtkę usunąć, wyłącza nasłuch na porcie 32764… do momentu, aż logujący się zdalnie do urządzenia użytkownik nie wyśle odpowiednio spreparowanego pakietu sieciowego, który furtkę reaktywuje.

Analiza struktury pakietu pokazała, że jest ona taka sama, jak używana w starej wersji narzędzia aktualizacyjnego Sercommu – i wykorzystywana w ataku 834root, pozwalającym przejąć kontrolę nad niektórym modelami routerów Netgeara. W samym pakiecie znajduje się skrót MD5 numeru modelu urządzenia. Odkrywca podkreśla, że to nie jest żadna pomyłka ze strony producenta. Wykorzystanie starego kodu, który dawał administracyjny dostęp do ukrytego portu dowodzi, że to klasyczny przykład It's not a bug, it's a feature.

Włączenie portu zapewniającego administracyjny dostęp wymaga dostępu do urządzenia z poziomu sieci lokalnej lub z WAN-u dostawcy Internetu, atak nie jest możliwy poprzez publiczny Internet. Wystarczy jednak, że ISP roześle taki pakiet w trybie rozgłaszania w swojej sieci, a wszystkie „załatane” urządzenia zostaną udostępnione zainteresowanym osobom z zewnątrz. Napastnicy będą mogli nasłuchiwać cały ruch TCP/IP przez takie urządzenia, zmieniać ich konfigurację, a nawet cieszyć się bezpośrednim dostępem do sprzętu (Vanderbrecken pokazał, jak w ten sposób można kontrolować diody LED routera).

Do tej pory Sercomm nie zajął stanowiska w tej sprawie. Można tylko liczyć na to, że sytuacja skłoni więcej osób do korzystania z otwartego oprogramowania dla routerów, takiego jak np. OpenWRT czy DD-WRT.

© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.