מתקפת רדיפה בכבלים כדי להשיג שליטה על מודמי כבלים

חוקרי אבטחה מבית Lyrebirds חָשׂוּף מידע על פגיעות (CVE-2019-19494) במודמי כבלים המבוססים על שבבי Broadcom, המאפשרים שליטה מלאה על המכשיר. לדברי חוקרים, כ-200 מיליון מכשירים באירופה, המשמשים מפעילי כבלים שונים, מושפעים מהבעיה. מוכן לבדוק את המודם שלך תַסרִיט, אשר מעריכה את פעילות השירות הבעייתי, וכן את העובד לנצל אב טיפוס לבצע תקיפה כאשר דף מעוצב במיוחד נפתח בדפדפן של המשתמש.

הבעיה נגרמת כתוצאה מהצפת חוצץ בשירות המספק גישה לנתונים של מנתח ספקטרום, המאפשר למפעילים לאבחן בעיות ולקחת בחשבון את רמת ההפרעות בחיבורי הכבלים. השירות מעבד בקשות דרך jsonrpc ומקבל חיבורים רק ברשת הפנימית. ניצול הפגיעות בשירות היה אפשרי בשל שני גורמים - השירות לא היה מוגן משימוש בטכנולוגיה"כריכת DNS מחדש"עקב שימוש שגוי ב-WebSocket וברוב המקרים סיפקה גישה מבוססת על סיסמה הנדסית מוגדרת מראש, המשותפת לכל מכשירי סדרת הדגמים (מנתח הספקטרום הוא שירות נפרד ביציאת רשת משלו (בדרך כלל 8080 או 6080) עם משלו סיסמת גישה הנדסית, שאינה חופפת לסיסמה מממשק האינטרנט של מנהל המערכת).

טכניקת "DNS rebinding" מאפשרת, כאשר משתמש פותח דף מסוים בדפדפן, ליצור חיבור WebSocket עם שירות רשת ברשת הפנימית שאינו נגיש לגישה ישירה דרך האינטרנט. כדי לעקוף את הגנת הדפדפן מפני עזיבת היקף הדומיין הנוכחי (מקור מוצלב) מוחל שינוי של שם המארח ב-DNS - שרת ה-DNS של התוקפים מוגדר לשלוח שתי כתובות IP אחת אחת: הבקשה הראשונה נשלחת ל-IP האמיתי של השרת עם הדף, ולאחר מכן הכתובת הפנימית של המכשיר מוחזר (לדוגמה, 192.168.10.1). זמן החיים (TTL) לתגובה הראשונה מוגדר לערך מינימלי, ולכן בעת ​​פתיחת העמוד, הדפדפן קובע את ה-IP האמיתי של שרת התוקף וטוען את תוכן העמוד. הדף מריץ קוד JavaScript שמחכה לתוקף ה-TTL ושולח בקשה שנייה, אשר מזהה כעת את המארח כ-192.168.10.1, מה שמאפשר ל-JavaScript לגשת לשירות בתוך הרשת המקומית, תוך עקיפת מגבלת חוצה מוצא.

ברגע שהוא יכול לשלוח בקשה למודם, תוקף יכול לנצל גלישת מאגר במטפל מנתח הספקטרום, המאפשר להפעיל קוד עם הרשאות שורש ברמת הקושחה. לאחר מכן, התוקף מקבל שליטה מלאה על המכשיר, ומאפשר לו לשנות הגדרות כלשהן (לדוגמה, לשנות תגובות DNS באמצעות הפניית DNS לשרת שלו), להשבית עדכוני קושחה, לשנות את הקושחה, להפנות תעבורה או להתקע לחיבורי רשת ( MiTM).

הפגיעות קיימת במעבד Broadcom הסטנדרטי, המשמש בקושחה של מודמי כבלים מיצרנים שונים. בעת ניתוח בקשות בפורמט JSON באמצעות WebSocket, עקב אימות נתונים לא תקין, ניתן לכתוב את זנב הפרמטרים שצוינו בבקשה לאזור מחוץ למאגר המוקצה ולדרוס חלק מהמחסנית, כולל כתובת ההחזרה וערכי האוגר השמורים.

נכון לעכשיו, הפגיעות אושרה במכשירים הבאים שהיו זמינים למחקר במהלך המחקר:

• Sagemcom F@st 3890, 3686;
• NETGEAR CG3700EMR, C6250EMR, CM1000 ;
• Technicolor TC7230, TC4400;
• COMPAL 7284E, 7486E;
• גלשן SB8200.

מקור: OpenNet.ru