केबल मॉडेम पर नियंत्रण पाने के लिए केबल हंट हमला

लायरबर्ड्स के सुरक्षा शोधकर्ता खुला के बारे में जानकारी कमजोरियों (CVE-2019-19494) ब्रॉडकॉम चिप्स पर आधारित केबल मॉडेम में, डिवाइस पर पूर्ण नियंत्रण की अनुमति देता है। शोधकर्ताओं के अनुसार, यूरोप में विभिन्न केबल ऑपरेटरों द्वारा उपयोग किए जाने वाले लगभग 200 मिलियन डिवाइस इस समस्या से प्रभावित हैं। आपके मॉडेम की जाँच करने के लिए तैयार लिखी हुई कहानी, जो समस्याग्रस्त सेवा के साथ-साथ कार्यकर्ता की गतिविधि का मूल्यांकन करता है प्रोटोटाइप का शोषण करें उपयोगकर्ता के ब्राउज़र में विशेष रूप से डिज़ाइन किया गया पेज खुलने पर हमला करना।

समस्या उस सेवा में बफर ओवरफ्लो के कारण होती है जो स्पेक्ट्रम विश्लेषक डेटा तक पहुंच प्रदान करती है, जो ऑपरेटरों को समस्याओं का निदान करने और केबल कनेक्शन पर हस्तक्षेप के स्तर को ध्यान में रखने की अनुमति देती है। सेवा jsonrpc के माध्यम से अनुरोधों को संसाधित करती है और केवल आंतरिक नेटवर्क पर कनेक्शन स्वीकार करती है। सेवा में भेद्यता का शोषण दो कारकों के कारण संभव था - सेवा प्रौद्योगिकी के उपयोग से सुरक्षित नहीं थी"डीएनएस रीबाइंडिंग"वेबसॉकेट के गलत उपयोग के कारण और ज्यादातर मामलों में पूर्वनिर्धारित इंजीनियरिंग पासवर्ड के आधार पर पहुंच प्रदान की जाती है, जो मॉडल श्रृंखला के सभी उपकरणों के लिए सामान्य है (स्पेक्ट्रम विश्लेषक अपने स्वयं के नेटवर्क पोर्ट (आमतौर पर 8080 या 6080) पर एक अलग सेवा है) इंजीनियरिंग एक्सेस पासवर्ड, जो व्यवस्थापक वेब इंटरफ़ेस से पासवर्ड के साथ ओवरलैप नहीं होता है)।

"डीएनएस रीबाइंडिंग" तकनीक, जब कोई उपयोगकर्ता ब्राउज़र में एक निश्चित पेज खोलता है, तो आंतरिक नेटवर्क पर एक नेटवर्क सेवा के साथ वेबसॉकेट कनेक्शन स्थापित करने की अनुमति देता है जो सीधे इंटरनेट के माध्यम से पहुंच योग्य नहीं है। वर्तमान डोमेन के दायरे को छोड़ने के विरुद्ध ब्राउज़र सुरक्षा को बायपास करने के लिए (क्रॉस-ओरिजिन) DNS में होस्ट नाम का परिवर्तन लागू किया जाता है - हमलावरों के DNS सर्वर को एक-एक करके दो आईपी पते भेजने के लिए कॉन्फ़िगर किया गया है: पहला अनुरोध पृष्ठ के साथ सर्वर के वास्तविक आईपी पर भेजा जाता है, और फिर आंतरिक पते पर भेजा जाता है डिवाइस वापस आ गया है (उदाहरण के लिए, 192.168.10.1)। पहली प्रतिक्रिया के लिए टाइम टू लाइव (टीटीएल) न्यूनतम मान पर सेट है, इसलिए पेज खोलते समय, ब्राउज़र हमलावर के सर्वर का वास्तविक आईपी निर्धारित करता है और पेज की सामग्री को लोड करता है। पेज जावास्क्रिप्ट कोड चलाता है जो टीटीएल के समाप्त होने की प्रतीक्षा करता है और दूसरा अनुरोध भेजता है, जो अब होस्ट को 192.168.10.1 के रूप में पहचानता है, जो जावास्क्रिप्ट को क्रॉस-ओरिजिन प्रतिबंध को दरकिनार करते हुए स्थानीय नेटवर्क के भीतर सेवा तक पहुंचने की अनुमति देता है।

एक बार मॉडेम को अनुरोध भेजने में सक्षम होने पर, एक हमलावर स्पेक्ट्रम विश्लेषक हैंडलर में बफर ओवरफ्लो का फायदा उठा सकता है, जो फर्मवेयर स्तर पर रूट विशेषाधिकारों के साथ कोड को निष्पादित करने की अनुमति देता है। इसके बाद, हमलावर डिवाइस पर पूर्ण नियंत्रण प्राप्त कर लेता है, जिससे उसे किसी भी सेटिंग को बदलने की अनुमति मिलती है (उदाहरण के लिए, अपने सर्वर पर DNS पुनर्निर्देशन के माध्यम से DNS प्रतिक्रियाओं को बदलना), फर्मवेयर अपडेट को अक्षम करना, फर्मवेयर को बदलना, ट्रैफ़िक को रीडायरेक्ट करना या नेटवर्क कनेक्शन में वेज करना (MiTM) ).

भेद्यता मानक ब्रॉडकॉम प्रोसेसर में मौजूद है, जिसका उपयोग विभिन्न निर्माताओं के केबल मॉडेम के फर्मवेयर में किया जाता है। वेबसॉकेट के माध्यम से JSON प्रारूप में अनुरोधों को पार्स करते समय, अनुचित डेटा सत्यापन के कारण, अनुरोध में निर्दिष्ट पैरामीटर की पूंछ को आवंटित बफर के बाहर के क्षेत्र में लिखा जा सकता है और रिटर्न पते और सहेजे गए रजिस्टर मानों सहित स्टैक के हिस्से को अधिलेखित किया जा सकता है।

वर्तमान में, निम्नलिखित उपकरणों में भेद्यता की पुष्टि की गई है जो शोध के दौरान अध्ययन के लिए उपलब्ध थे:

• सेजमकॉम एफ@एसटी 3890, 3686;
• नेटगियर CG3700EMR, C6250EMR, CM1000;
• टेक्नीकलर टीसी7230, टीसी4400;
• कंपल 7284ई, 7486ई;
• सर्फ़बोर्ड SB8200.

स्रोत: opennet.ru