Възможност за управление на модеми на милиони абонати на ISP Cox без аутентификация

Клиент Cox Communications, третият по големина доставчик на кабелна телевизия в САЩ и един от най-големите оператори за широколентов достъп с 6,5 милиона абонати, публикува резултатите от експерименти с използвания от тях вътрешен Web API, достъпен за външни заявки и прилаган, сред другото, за достъп на обслужващия екип до модемите и базата данни на абонатите. Оказа се, че познавайки само MAC адреса на абонатното устройство, може да се получи пълен контрол над модема, позволяващ промяна на настройки и изпълнение на всякакви команди на модема. По същество, всеки нападател може да получи достъп до модема, подобен на инженерен достъп, който получава обслужващият екип на оператора.

Забележително е, че MAC адресът на абонатното устройство може да бъде получен чрез запитване към публичния Web API без преминаване на аутентификация, използвайки функцията за търсене на абонати, например, чрез избор по имейл или номер на сметка (перебирайки номера, може последователно да извлечете данни за клиентите). Освен MAC адреса, се показват и други данни за абоната, включително адрес, телефон, име и фамилия, и имейл. Всичката информация е достъпна за запитвания от външна мрежа без аутентификация. Въпреки това информацията може не само да бъде получена, но и променена. Публичният API има над 700 обработвача, сред които много реализират операции по администриране.

За верификация на предаването на команди и настройки на модемите на потребителите е използван криптиран параметър, но функциите за криптиране бяха намерени в един от скриптовете на JavaScript, предоставяни от сайта webcdn-business.cox.com. Ключът за криптиране успяхме да определим, поставяйки точка за спиране на тези функции в JavaScript отладчика на браузъра по време на регистрация на сайта myaccount-business.cox.com. Ключът за криптиране се формира с използване на MAC адреса, идентификатора на устройството и номера на сметката на потребителя, както и няколко помощни параметъра, като модел на устройството и тип достъп.

Сценарият на атаката се състои в търсенето на жертва чрез публичния Web API, използвайки запитване по име, телефонен номер, имейл или номер на сметка. След това нападателят се обръща към Web API, за да изтегли пълния набор от лични данни на абоната, използвайки UUID, получен при търсенето на първия етап. Използвайки MAC адреса на модема, посочен сред данните за абоната, нападателят може да види списък с устройствата, свързани към модема, да промени всякакви параметри на модема, да запита паролата, използвана за свързване с Wi-Fi, и да изпълнява всякакви команди на устройството, което може да се приложи, например, за организиране на анализ или пренасочване на потребителския трафик.

Източник: opennet.ru