حمله Cable Haunt برای به دست آوردن کنترل مودم های کابلی

محققان امنیتی از Lyrebirds بدون پوشش اطلاعاتی درباره آسیب پذیری ها (CVE-2019-19494) در مودم های کابلی مبتنی بر تراشه های Broadcom که امکان کنترل کامل بر دستگاه را فراهم می کند. به گفته محققان، حدود 200 میلیون دستگاه در اروپا که توسط اپراتورهای کابلی مختلف استفاده می شود، تحت تأثیر این مشکل قرار دارند. برای بررسی مودم آماده شده است اسکریپت، که فعالیت سرویس مشکل دار و همچنین کارگر را ارزیابی می کند بهره برداری از نمونه اولیه برای انجام یک حمله زمانی که یک صفحه طراحی شده خاص در مرورگر کاربر باز می شود.

مشکل ناشی از سرریز بافر در سرویسی است که دسترسی به داده های تحلیلگر طیف را فراهم می کند، که به اپراتورها اجازه می دهد مشکلات را تشخیص داده و سطح تداخل در اتصالات کابل را در نظر بگیرند. این سرویس درخواست ها را از طریق jsonrpc پردازش می کند و اتصالات را فقط در شبکه داخلی می پذیرد. بهره برداری از آسیب پذیری در سرویس به دلیل دو عامل امکان پذیر بود - سرویس در برابر استفاده از فناوری محافظت نمی شد.دوباره بایند شدن DNS"به دلیل استفاده نادرست از WebSocket و در بیشتر موارد دسترسی بر اساس یک رمز عبور مهندسی از پیش تعریف شده، مشترک برای همه دستگاه های سری مدل (آنالایزر طیف یک سرویس جداگانه در پورت شبکه خود (معمولا 8080 یا 6080) با خود است. رمز ورود مهندسی، که با رمز عبور از رابط وب مدیر همپوشانی ندارد).

تکنیک "DNS rebinding" اجازه می دهد، زمانی که کاربر صفحه خاصی را در یک مرورگر باز می کند، یک اتصال WebSocket را با یک سرویس شبکه در شبکه داخلی ایجاد کند که برای دسترسی مستقیم از طریق اینترنت قابل دسترسی نیست. برای دور زدن حفاظت مرورگر در برابر خروج از محدوده دامنه فعلی (منشاء متقابل) تغییر نام میزبان در DNS اعمال می شود - سرور DNS مهاجمان برای ارسال دو آدرس IP یک به یک پیکربندی شده است: اولین درخواست به IP واقعی سرور با صفحه ارسال می شود و سپس آدرس داخلی دستگاه برگردانده می شود (به عنوان مثال، 192.168.10.1). زمان زنده بودن (TTL) برای اولین پاسخ روی حداقل مقدار تنظیم شده است، بنابراین هنگام باز کردن صفحه، مرورگر IP واقعی سرور مهاجم را تعیین می کند و محتویات صفحه را بارگذاری می کند. این صفحه کد جاوا اسکریپت را اجرا می کند که منتظر می ماند تا TTL منقضی شود و درخواست دومی را ارسال می کند که اکنون میزبان را به عنوان 192.168.10.1 شناسایی می کند که به جاوا اسکریپت اجازه می دهد تا به سرویس در شبکه محلی دسترسی داشته باشد و محدودیت مبدا متقاطع را دور بزند.

هنگامی که مهاجم بتواند درخواستی را به مودم ارسال کند، می تواند از سرریز بافر در کنترل کننده تحلیلگر طیف سوء استفاده کند، که اجازه می دهد کد با امتیازات ریشه در سطح سیستم عامل اجرا شود. پس از این، مهاجم کنترل کامل دستگاه را به دست می‌آورد و به او اجازه می‌دهد تنظیمات را تغییر دهد (مثلاً پاسخ‌های DNS را از طریق تغییر مسیر DNS به سرور خود تغییر دهد)، به‌روزرسانی‌های میان‌افزار را غیرفعال کند، سیستم‌افزار را تغییر دهد، ترافیک را تغییر مسیر دهد یا به اتصالات شبکه متصل شود (MiTM) ).

این آسیب پذیری در پردازنده استاندارد Broadcom وجود دارد که در سیستم عامل مودم های کابلی تولید کنندگان مختلف استفاده می شود. هنگام تجزیه درخواست‌ها در قالب JSON از طریق WebSocket، به دلیل اعتبارسنجی نامناسب داده‌ها، می‌توان دنباله پارامترهای مشخص‌شده در درخواست را در ناحیه‌ای خارج از بافر اختصاص‌یافته نوشت و بخشی از پشته، از جمله آدرس برگشتی و مقادیر ثبت ذخیره‌شده را بازنویسی کرد.

در حال حاضر، آسیب‌پذیری در دستگاه‌های زیر که برای مطالعه در طول تحقیق در دسترس بودند تأیید شده است:

• Sagemcom F@st 3890, 3686;
• NETGEAR CG3700EMR, C6250EMR, CM1000 ;
• Technicolor TC7230, TC4400;
• COMPAL 7284E, 7486E;
• تخته موج سواری SB8200.

منبع: opennet.ru