Przeglądasz archiwalną wersję znaleziska.
» Dziura w routerach sprzedawanych przez UPC (także w Polsce). Technicolor...

» Dziura w routerach sprzedawanych przez UPC (także w Polsce). Technicolor...

@bslawek niebezpiecznik.pl #swiat #upc #hacking #internet

Odkryto podatność CSRF w rotuterach Technicolor C7200,

  •  
    f......s

    +2

    pokaż komentarz

    Użytkownicy UPC są bezpieczni, automatycznie wgrany jest zdalnie nowszy system odporny na atak.

    •  

      pokaż komentarz

      @factorys: wygląda na to, że nie wszyscy. Niektórzy z czytelników Niebezpiecznika dalej raportują, że wciąż mają stary, podatny na atak firmware.

    •  

      pokaż komentarz

      @piko: Wystarczy zresetować ruter i się zaktualizuje. Po za tym sama dziura jest czysto teoretyczna. Praktycznie nie realne jest przeprowadzenie ataku w ten sposób. Dodatkowo tego typu dziury są wszędzie. Sam wykop miał swego czasu pełno niepodpisywanych zapytań jeszcze niedawno... Trochę szkoda, że niebezpiecznik kręci aferę z niczego, dodatkowo oryginalna wersja artykuły była jakimś żartem, bo był to tylko opis filmiku... Beż żadnych faktów czy też sprawdzenia problemu. Eh to nie ten sam niebezpiecznik co kiedyś...

    •  

      pokaż komentarz

      tl;dr: dziura jest poważna w skutkach nawet w routerach, ale wymaga atakującego o IQ wyższym niż temperatura pokojowa.

      @kasper93: To nie jest czysto teoretyczna dziura, bo można ją wykorzystać w praktyce. Wymaga to 2 warunków: łatwego do spełnienia - nakłonienia ofiary do wejścia na stronę atakującego oraz małoprawdopodobnego (zazwyczaj) do spełnienia - wstrzelenia się w okres, kiedy ofiara posiada aktywną sesję (jest zalogowana na routerze). Ten małoprawdopodobny warunek można jednak znacznie uprawdopodobnić przy atakach ukierunkowanych (nie masowych), wysyłając wcześniej prośbę do ofiary, rzekomo w imieniu UPC (via pierwszy lepszy spoofmail) o zalogowanie się na router w celu sprawdzenia np. wersji oprogramowania w związku z głośnymi ostatnio włamaniami na TP-Linka ;-)

      Nie bagatelizowałbym CSRF tylko dlatego, że jak piszesz "tego typu dziury są wszędzie". Popularność to nie powód obniżenia ryzyka zagrożenia ;) Ta podatność nie bez powodu znajduje się w TOP10 na OWASP, polecam lekturę: https://www.owasp.org/index.php/Top_10_2013-A8-Cross-Site_Request_Forgery_(CSRF) z której można się dowiedzieć, co może być skutekiem CSRF w przypadku webaplikacji.

      A przechodząc do meritum, w przypadku routera TC7200 z podatnym na atak firmwarem ta podatność może posłużyć do, najpierw resetu ustawień do fabrycznych (co spowoduje zmianę hasła na domyślne) a potem włączenia zarządzania od strony WAN (co efektywnie pozwoli na zalogowanie się na router ofiary od strony internetu -- a stąd już prosta droga do scenariusza znanego z ostatnich ataków na TP-Linki, czyli podmiany DNS: http://niebezpiecznik.pl/post/stracil-16-000-pln-bo-mial-dziurawy-router-prawie-12-miliona-polakow-moze-byc-podatnych-na-ten-atak/ (o ile nie da się po prostu przez CSRF podmienić adresów DNS). I tak oto przy pewnym nakładzie pracy, jaki z reguły jest wymagany od ataku ukierunkowanego, przekuwamy CSFR na $$$.

      A co do wymuszenia restartu w celu zaaplikowania aktualizacji - ta informacja znajduje się w artykule. Co ciekawe, z komentarzy pod artykułem wynika, że sporo osób nie restartuje regularnie routerów -- ich niezawodność gwarantem ich podatności, możnaby zażartować ;)

    •  

      pokaż komentarz

      @piko: No dobra, ale nadal uważam, że wektor ataku jest bardzo mały. Atakujący owszem może przeprowadzić atak, ale na jednej konkretnej ofierze. I przy dość wysokim zaangażowaniu. Na przykład w TPlinkach to z automatu leciało i można było skanować sieć. W przypadku TC7200 najpierw musisz znaleźć ofiarę z takim ruterem, żeby jej link wysłać, co już może być kłopotliwe, bo skąd masz wiedzieć jaki kto ma ruter. A masowy spam tym bardziej zostanie wy filtrowany prędzej czy później. No chyba, że ktoś ma ładną bazę maili klientów UPC... Ogólnie nie mówię, że dziury nie ma, ale przeprowadzić taki atak to można na prezentacji, a nie w prawdziwym życiu. Choć muszę przyznać, że nie takie rzeczy się widział, więc dobrze, że już jest aktualizacja wydana.

    •  

      pokaż komentarz

      @piko: to ja mam przesrane. Wlasnie chcialem sprawdzic wersje softu, ale nie moge, bo ruter sobie ubzdural, ze gdzies wisi jakas sesja admina. Ano oczywiscie: logowalem sie na niego 2 miesiace temu! Generalnie sa takie jaja z tymi sesjami, ze glowa boli. Niech no timeout bez wylogowania wyskoczy, to trzeba mu restart robic. O wyrzuceniu bridge-mode w polskim UPC nie wspomnę. Bo w umowie jest wifi i koniec. A że radio można zgasic, to juz niewazne :)

    •  

      pokaż komentarz

      @kasper93: "W przypadku TC7200 najpierw musisz znaleźć ofiarę z takim ruterem, żeby jej link wysłać, co już może być kłopotliwe, bo skąd masz wiedzieć jaki kto ma ruter. "

      Routery mogą się przedstawić, nmap OS Detection w różnych wariantach. Zresztą nie trzeba wcale wiedzieć wystarczy mieć bazę IP (co nietrudno zebrać w sieci), zwrotny dns ładnie pokazuje, że IP należy do UPC, a zachęcający mail może być ogólnie sformułowany. Dużo rozdali tych g.. TC7200 i nadal wpychają na chama, a więc prawdopodobieństwo trafienia rośnie.

      Z tym, że niby nowy firmware dostępny dla wszystkich to lipa, resetuję i nic, uparcie siedzi stary podatny na atak.

    •  

      pokaż komentarz

      @orentowyfikus: adres email ofiary też masz z os detection?

    •  

      pokaż komentarz

      @jeerry: Zakładasz, że mail jest konieczny, a ja robię inne założenie. Do skłonienia ofiary do zalogowania się na modem wystarczy odpowiednio spreparowana strona np. z poradnikiem, instrukcją jak coś tam wymodzić na takim Technikolorze i już znajdą się chętni na testy, a głównie zainteresują się tym ci, którzy mają taki model i są w danej sieci. To tylko przykład, hakerzy bywają bardziej kreatywni.

    •  
      f......s

      0

      pokaż komentarz

      @Webster666: nowa wersja dodaje przycisk wyloguj, restart i będziesz miał :)

  •  

    pokaż komentarz

    Co to za sprzęt sieciowy którego producentem jest Thompson? ;/

  •  
    a......m

    +1

    pokaż komentarz

    Warunkiem wykonania udanego ataku, oprócz posiadania przez ofiarę routera Technicolor TC7200 w wersji STD6.01.12 jest jeszcze zwabienie jej na odpowiednio spreparowaną przez atakującego stronę WWW (i to w momencie, kiedy ofiara posiada aktywną sesję administracyjnej na routerze).

    Opisali CSRF
    Zasadniczo wejście na odpowiednio spreparowaną stronę, gdy ma się otwartą jakąś odpowiednią dla tej strony sesję może być jeszcze groźniejsze.

    Nie trzeba mieć routera.

  •  

    pokaż komentarz

    Gówno dziura. Tplinki to dopiero dziurawe cholerstwa.
    #gownoburza