케이블 모뎀 제어권을 얻기 위한 Cable Haunt 공격

Lyrebirds의 보안 연구원 폭로 에 관한 정보 취약점 (CVE-2019-19494) Broadcom 칩 기반 케이블 모뎀에서 장치를 완벽하게 제어할 수 있습니다. 연구자들에 따르면 유럽에서는 다양한 케이블 사업자가 사용하는 약 200억 대의 장치가 이 문제의 영향을 받습니다. 모뎀 점검 준비 스크립트, 문제가 있는 서비스의 활동과 작업자를 평가합니다. 프로토타입을 악용하다 사용자의 브라우저에서 특별히 고안된 페이지가 열릴 때 공격을 수행합니다.

이 문제는 스펙트럼 분석기 데이터에 대한 액세스를 제공하는 서비스의 버퍼 오버플로로 인해 발생합니다. 이를 통해 운영자는 문제를 진단하고 케이블 연결에 대한 간섭 수준을 고려할 수 있습니다. 서비스는 jsonrpc를 통해 요청을 처리하고 내부 네트워크에서만 연결을 허용합니다. 서비스의 취약점 악용은 기술 사용으로부터 서비스가 보호되지 않았다는 두 가지 요인으로 인해 가능했습니다.DNS 리바인딩"WebSocket의 잘못된 사용으로 인해 그리고 대부분의 경우 모델 시리즈의 모든 장치에 공통적으로 사전 정의된 엔지니어링 암호를 기반으로 액세스가 제공되었습니다(스펙트럼 분석기는 자체 네트워크 포트(일반적으로 8080 또는 6080)에서 별도의 서비스입니다. 엔지니어링 액세스 비밀번호는 관리자 웹 인터페이스의 비밀번호와 중복되지 않습니다).

"DNS 리바인딩" 기술을 사용하면 사용자가 브라우저에서 특정 페이지를 열 때 인터넷을 통해 직접 액세스할 수 없는 내부 네트워크의 네트워크 서비스와 WebSocket 연결을 설정할 수 있습니다. 현재 도메인의 범위를 벗어나지 않도록 브라우저 보호를 우회하려면(교차 출처) DNS의 호스트 이름 변경이 적용됩니다. - 공격자의 DNS 서버는 두 개의 IP 주소를 하나씩 보내도록 구성됩니다. 첫 번째 요청은 페이지가 있는 서버의 실제 IP로 전송되고 그 다음에는 내부 주소가 전송됩니다. 장치가 반환됩니다(예: 192.168.10.1). 첫 번째 응답에 대한 TTL(Time to Live)은 최소값으로 설정되어 있으므로 페이지를 열 때 브라우저는 공격자 서버의 실제 IP를 확인하고 페이지의 내용을 로드합니다. 페이지에서는 TTL이 만료될 때까지 기다리는 JavaScript 코드를 실행하고 두 번째 요청을 보냅니다. 이 요청은 이제 호스트를 192.168.10.1로 식별합니다. 이를 통해 JavaScript는 원본 간 제한을 우회하여 로컬 네트워크 내 서비스에 액세스할 수 있습니다.

모뎀에 요청을 보낼 수 있게 되면 공격자는 스펙트럼 분석기 처리기의 버퍼 오버플로를 악용할 수 있으며, 이를 통해 펌웨어 수준에서 루트 권한으로 코드를 실행할 수 있습니다. 그 후, 공격자는 장치에 대한 완전한 제어권을 획득하여 모든 설정 변경(예: 서버에 대한 DNS 리디렉션을 통해 DNS 응답 변경), 펌웨어 업데이트 비활성화, 펌웨어 변경, 트래픽 리디렉션 또는 네트워크 연결에 대한 웨지(MiTM)를 수행할 수 있습니다. ).

이 취약점은 다양한 제조업체의 케이블 모뎀 펌웨어에 사용되는 표준 Broadcom 프로세서에 존재합니다. WebSocket을 통해 JSON 형식의 요청을 구문 분석할 때 부적절한 데이터 유효성 검사로 인해 요청에 지정된 매개변수의 꼬리가 할당된 버퍼 외부 영역에 기록되고 반환 주소 및 저장된 레지스터 값을 포함하여 스택의 일부를 덮어쓸 수 있습니다.

현재 연구 기간 동안 연구에 사용 가능한 다음 장치에서 취약점이 확인되었습니다.

• Sagemcom F@st 3890, 3686;
• 넷기어 CG3700EMR, C6250EMR, CM1000;
• 테크니컬러 TC7230, TC4400;
• COMPAL 7284E, 7486E;
• 서핑보드 SB8200.

출처 : opennet.ru