Luki w routerach Thomson TWG870 i Technicolor TC7200 zlekceważone przez UPC

Trudno się spodziewać, by urządzenia sieciowe rozdawane przezdostawców Internetu swoim abonentom należały do grona produktów zwyższej półki. Wręcz przeciwnie, to sprzęt bardzo „budżetowy”.Niestety bardzo często niska cena wiąże się nie tylko zniewyśrubowanymi parametrami, ale też niskim poziomembezpieczeństwa. Nie ma miesiąca, by nie było słychać o wykryciukolejnej luki w zabezpieczeniach masowo używanych routerów czymodemów. Tym razem taką lukę wykryto w popularnym routerzeTechnicolor TC7200 i Thomson TWG870, rozdawanym klientom sieci UPC.Wykorzystujący ją atak jest tak prosty, że osoby korzystające ztego sprzętu powinny nastawić się na problemy w najbliższychdniach.

Adam Golański

22 maja 2014, 11:38

O sprawie doniósłpierwszy Kamil Frankowicz, autor bloga vgeek.pl. Opisywana lukajest zaskakująco trywialna – wysyłając podatnemu na atakrouterowi żądanie HTTP (zarówno GET jak i POST), o długościponad 306 bajtów (TC7200) lub ponad 544 bajty (TWG870), możemyurządzenie takie zmusić do restartu. Sam restart wiąże się zniespodziewanymi konsekwencjami – skasowane zostają logi routera,wyłączone zostanie zabezpieczenie przed atakami IP flooding, a nakoniec włączona sieć Wi-Fi (nawet jeśli była wyłączona).

W teorii atak nie należy do najgroźniejszych, gdyż można goprzeprowadzić tylko z sieci lokalnej – chyba, że ktoś włączyłzdalny dostęp przez Internet do panelu administracyjnego w routerzeThomsona (router Technicolor nie ma takiej możliwości). I na tojednak jest sposób, atak Cross Site Request Forgery, polegający nastworzeniu strony internetowej z klikalnym elementem HTML linkującymdo adresu routera w sieci lokalnej (192.168.0.1), pozwala naiwneofiary wykorzystać do atakowania samych siebie.

[yt=http://www.youtube.com/watch?v=De9cDZOu-W4]

Podatność występuje we wszystkich wersjach firmwarewspomnianych urządzeń. Samo UPC utrzymuje, że nie ma czego sięobawiać: Michał Fura, rzecznik firmy zapewnia, że błędy możliwedo wyexploitowania z sieci lokalnej to nic strasznego, określamożliwość wykorzystania luki w oferowanych przez firmę routerachjako mocno teoretyczną.

Najlepszym rozwiązaniem w tejsytuacji jest zainwestowanie w przyzwoity router, na którym możnazainstalować wysokiej jakości niezależne firmware, np. OpenWRT,DD-WRT czy Tomato. Jeśli nie jest to możliwe, przede wszystkimnależy uniemożliwić zdalny dostęp do panelu administracyjnego.Warto też w wykorzystywanej przeglądarce zainstalować rozszerzeniachroniące przez atakami CSRF, np. CsFire dla Firefoksaczy Chrome.

Adam Golański