Luka w routerach D-Link umożliwia przejęcie kontroli

Tydzień bez luki w routerach jest tygodniem straconym, dlatego też po raz kolejny informujemy Was o dziurach, które można znaleźć w domowych urządzeniach. Czasami można dojść do wniosku, że bardzo wiele domowych sieci komputerowych jest niebezpiecznych - czasami strach cokolwiek do nich podłączać, nie myśląc już o przechowywaniu danych. Tym razem pod lupę zostało wzięte urządzenie firmy D-Link, a dokładniej router, który kosztuje około 300 dolarów. Teoretycznie tak drogie urządzenie powinno nie tylko charakteryzować się bardzo dobrymi parametrami technicznymi, ale też wysokim poziomem bezpieczeństwa. Niestety w tej drugiej kwestii bywa bardzo różnie. Router D-Link DIR 890L posiada interfejs o nazwie HNAP, który służy do zarządzania routerem poprzez operatora, bądź też jest wykorzystywany podczas pierwszej konfiguracji sprzętu.

Okazuje się, że wspomniana usługa posiada lukę – żądania wysyłane do routera są obsługiwane przez jeden plik, który przed wykonaniem otrzymanego polecenia weryfikuje skąd ono pochodzi. Teoretycznie jeżeli żądanie posiadało nagłówek, który równał się https://purenetworks.com/HNAP1/GetDeviceSettings powinno zostać one bez problemu wykonane. Niestety moduł odpowiedzialny za weryfikację posiada błąd, gdyż zamiast sprawdzać, czy nagłówek jest zgodny z wyżej wymienionym ciągiem sprawdza tylko, czy żądanie od niego się zaczyna. Craig, odkrywca błędu postanowił zatem stworzyć takie żądanie, które nie będzie wymagało uwierzytelnienia i jednocześnie umożliwi wykonanie dowolnego zadania na urządzeniu. Oczywiście się to udało – uruchomiony został serwer telnet, który domyślnie uruchamia się z uprawnieniami roota.

Coraz więcej urządzeń posiada dostęp do sieci... strach pomyśleć co może się w nich kryć, skoro popularne routery posiadają tak karygodne błędy.

Jeżeli w jakiś sposób firewall zablokuje nasze połączenie poprzez telnet, to istnieje bardzo prosty sposób na obejście tego problemu – wystarczy zabić proces serwera WWW i uruchomić usługę telnet na procie, na którym pracuje serwer WWW. Tą sprawą zajął się również inny badacz, Zhang Wei, który postanowił zgłosić ten problem bezpośrednio do firmy D-Link.

Korporacja postanowiła zapoznać się z problemem i na oficjalnej stronie internetowej opublikowała listę modeli, które są podatne na tego typu atak. Co gorsza, problemu w 100% nie da się rozwiązać przy pomocy domowych metod (interfejsu HNAP nie da się wyłączyć), zatem posiadacze wybranych urządzeń muszą czekać na oficjalną poprawkę (ewentualnie ją pobrać i zainstalować, jeżeli jest już dostępna). Przy okazji upewnijcie się, że interfejs administracyjny Waszego routera nie jest dostępny od strony Internetu. Więcej informacji odnośnie podatnych modeli i aktualizacji możecie dowiedzieć się z tej strony internetowej.

Aktualizacja!

D-Link wypuścił aktualizację oprogramowania, która w żaden sposób nie eliminuje wykrytych podatności. Najnowsza poprawka sprawdza, czy żądanie wysłane do routera jest prawidłowo skonstruowane, ale nie weryfikuje uprawnień wydającego polecenia. Dzięki tej dziurze możemy przy pomocy odpowiedniego zapytania przywrócić atakowane urządzenie do ustawień fabrycznych. Co zrobić w takiej sytuacji? Najlepiej kupić router innego producenta.

Źródło: D-Link / devttys0