D-Link в данный момент разрабатывает патч для закрытия серьезной уязвимости в некоторых старых моделях маршрутизаторов, которую можно использовать в качестве бэкдора. Этот баг, обнаруженный исследователем-безопасником и обнародованный на прошлой неделе, позволяет удаленному пользователю входить в веб-интерфейс маршрутизатора как администратор и выполнять любые действия с ним.

Уязвимость весьма серьезная, особенно учитывая, что ей подвержены устройства пользовательского класса, которые обычно устанавливают, включают и не трогают долгие годы. Исследователь Крэйг Хеффнер, обнаруживший изъян, провел обратный инжиниринг прошивки D-Link и нашел интересную строку в коде. После внимательного рассмотрения кода и исследования, что именно он может делать, Хеффнер установил, что злоумышленник, используя эту строку в качестве значения User Agent в своем браузере, может залогиниться как администратор роутера и сделать любое число изменений.

«Другими словами, если строка user agent в браузере установлена в xmlset_roodkcableoj28840ybtide, вы можете залогиниться в веб-интерфейс без какой-либо аутентификации и смотреть/менять настройки устройства», — написал Хеффнер в посте в своем блоге.

Основной вопрос — почему вообще в маршрутизаторах имеется бэкдор. В прошлом перед производителями оборудования ставились подобные вопросы, и они отвечали, что иногда реализуют подобную функциональность для удаленной поддержки или для отладки во время процесса разработки и по ошибке забывают это убрать. Хеффнер заявил, что другой исследователь, Трэвис Гудспид, считает именно это причиной появления бэкдора D-Link.

«Мой коллега Трэвис Гудспид указал, что этот бэкдор используется бинарником /bin/xmlsetc в прошивке D-Link. После недолгих поисков я обнаружил несколько бинарников, которые, похоже, используют xmlsetc для автоматической перенастройки устройства (например, для динамического DNS). Полагаю, что разработчики заметили, что некоторые программы/сервисы нуждаются в способности автоматически изменять настройки устройства; обнаружив, что в веб-сервере уже есть нужный код, они решили просто посылать запросы веб-серверу в тех случаях, когда надо изменить что-то в настройках», — сказал Хеффнер.

Проблема наблюдается в следующих моделях маршрутизаторов D-Link:

  • DIR-100
  • DIR-120
  • DI-624S
  • DI-524UP
  • DI-604S
  • DI-604UP
  • DI-604+
  • TM-G5240

По заявлению компании, они работают над патчем, закрывающим эту уязвимость, и он будет готов к концу месяца. D-Link выпускает широкий ассортимент беспроводных маршрутизаторов для дома и малого офиса. До появления новой версии прошивки эксперты в области информационной безопасности рекомендуют пользователям уязвимых моделей удостовериться, что в их беспроводных сетях включено WPA2 и используются случайно сгенерированные пароли.

 

Изображение любезно предоставлено Mark Turnauckas.

Категории: Уязвимости