Di router FiberHome digunakan oleh penyedia untuk menghubungkan pelanggan ke jalur komunikasi optik GPON, 17 masalah keamanan diidentifikasi, termasuk keberadaan pintu belakang dengan kredensial yang telah ditentukan sebelumnya yang memungkinkan kendali jarak jauh peralatan. Masalah tersebut memungkinkan penyerang jarak jauh untuk mendapatkan akses root ke perangkat tanpa melewati otentikasi.
Sejauh ini, kerentanan telah dikonfirmasi di perangkat FiberHome HG6245D dan RP2602, serta sebagian di perangkat AN5506-04- *, tetapi masalah tersebut dapat memengaruhi model router lain dari perusahaan ini yang belum diuji.
Telah diamati bahwa, secara default, akses IPv4 ke antarmuka administrator di perangkat yang dipelajari terbatas pada antarmuka jaringan internal, memungkinkan akses hanya dari jaringan lokal, tapi diwaktu yang sama, Akses IPv6 tidak dibatasi dengan cara apa pun, memungkinkan pintu belakang yang ada untuk digunakan saat mengakses IPv6 dari jaringan eksternal.
Selain antarmuka web yang bekerja melalui HTTP / HTTPS, perangkat menyediakan fungsi untuk aktivasi jarak jauh dari antarmuka baris perintah, ke mana itu dapat diakses melalui telnet.
CLI diaktifkan dengan mengirimkan permintaan khusus melalui HTTPS dengan kredensial yang telah ditentukan sebelumnya. Selain itu, kerentanan (stack overflow) terdeteksi di server http yang melayani antarmuka web, dieksploitasi dengan mengirimkan permintaan dengan nilai cookie HTTP yang dibentuk secara khusus.
Router FiberHome HG6245D adalah router GPON FTTH. Mereka terutama digunakan di Amerika Selatan dan Asia Tenggara (dari Shodan). Perangkat ini hadir dengan harga bersaing tetapi sangat kuat, dengan banyak memori dan penyimpanan.
Beberapa kerentanan telah berhasil diuji terhadap perangkat fiberhome lainnya (AN5506-04-FA, firmware RP2631, 4 April 2019). Perangkat fiberhome memiliki basis kode yang cukup mirip, sehingga perangkat rumah serat lainnya (AN5506-04-FA, AN5506-04-FAT, AN5506-04-F) kemungkinan besar juga rentan.
En total, peneliti mengidentifikasi 17 masalah keamanan, 7 di antaranya mempengaruhi server HTTP, 6 ke server telnet dan sisanya terkait dengan kegagalan di seluruh sistem.
Produsen diberi tahu tentang masalah yang teridentifikasi setahun yang lalu, tetapi tidak ada informasi tentang solusi yang diterima.
Di antara masalah yang diidentifikasi adalah sebagai berikut:
- Informasi bocor tentang subnet, firmware, ID koneksi FTTH, alamat IP dan MAC di tahap sebelum melewati otentikasi.
- Simpan sandi pengguna di registri dalam teks yang jelas.
- Penyimpanan teks biasa dari kredensial untuk menghubungkan ke jaringan nirkabel dan kata sandi.
- Stack overflow di server HTTP.
- Adanya firmware kunci pribadi untuk sertifikat SSL, yang dapat diunduh melalui HTTPS ("curl https: //host/privkeySrv.pem").
Dalam analisis pertama, permukaan serangan tidak besar:
- - hanya HTTP / HTTPS yang mendengarkan secara default di LAN
- - Dimungkinkan juga untuk mengaktifkan CLI telnetd (tidak dapat diakses secara default) pada port 23 / tcp dengan menggunakan kredensial berkode keras di antarmuka administrasi web.Selain itu, karena kurangnya firewall untuk konektivitas IPv6, semua layanan internal akan dapat diakses melalui IPv6 (dari Internet).
Mengenai backdoor yang teridentifikasi untuk aktivasi telnet, peneliti menyebutkan hal itu Kode server http berisi penangan permintaan khusus "/ Telnet", serta penangan "/ fh" untuk akses istimewa.
Selain itu, parameter otentikasi hard-code dan kata sandi ditemukan di firmware. Secara total, 23 akun diidentifikasi dalam kode server http, ditautkan ke penyedia yang berbeda. Dan untuk antarmuka CLI, dimungkinkan untuk memulai proses telnetd terpisah dengan hak akses root pada port jaringan 26 dengan melewatkan skrip base64 sebagai tambahan untuk menentukan kata sandi umum "GEPON" untuk menyambung ke telnet.
Akhirnya jika Anda tertarik untuk mengetahui lebih banyak tentang itu, Anda bisa periksa tautan berikut.