Su router FiberHome utilizzato dai provider per connettere gli abbonati alle linee di comunicazione ottica GPON, Sono stati identificati 17 problemi di sicurezza, inclusa la presenza di backdoor con credenziali predefinite che consentono il controllo remoto delle apparecchiature. I problemi consentono a un utente malintenzionato remoto di ottenere l'accesso root al dispositivo senza passare l'autenticazione.
Finora, le vulnerabilità sono state confermate nei dispositivi FiberHome HG6245D e RP2602, così come in parte nei dispositivi AN5506-04- *, ma i problemi potrebbero interessare altri modelli di router di questa azienda che non sono stati testati.
Si osserva che, per impostazione predefinita, accesso IPv4 all'interfaccia amministratore sui dispositivi studiati è limitato all'interfaccia di rete interna, consentendo l'accesso solo dalla rete locale, ma allo stesso tempo, L'accesso IPv6 non è limitato in alcun modo, consentendo l'utilizzo delle backdoor esistenti quando si accede a IPv6 dalla rete esterna.
Oltre all'interfaccia web che funziona su HTTP / HTTPS, i dispositivi forniscono una funzione per l'attivazione remota dell'interfaccia della riga di comando, alla quale è possibile accedervi tramite telnet.
La CLI viene attivata inviando una richiesta speciale tramite HTTPS con credenziali predefinite. Inoltre, è stata rilevata una vulnerabilità (stack overflow) nel server http a servizio dell'interfaccia web, sfruttata inviando una richiesta con un valore di cookie HTTP appositamente formato.
I router FiberHome HG6245D sono router GPON FTTH. Sono utilizzati principalmente in Sud America e Sud-Est asiatico (da Shodan). Questi dispositivi hanno prezzi competitivi ma sono molto potenti, con molta memoria e spazio di archiviazione.
Alcune vulnerabilità sono state testate con successo contro altri dispositivi Fiberhome (AN5506-04-FA, firmware RP2631, 4 aprile 2019). I dispositivi Fiberhome hanno una base di codice abbastanza simile, quindi anche altri dispositivi domestici in fibra (AN5506-04-FA, AN5506-04-FAT, AN5506-04-F) sono probabilmente vulnerabili.
In totale, il ricercatore ha identificato 17 problemi di sicurezza, di cui 7 riguardano il server HTTP, 6 al server telnet e il resto è associato a errori a livello di sistema.
Il produttore è stato informato dei problemi identificati un anno fa, ma non è stata ricevuta alcuna informazione su una soluzione.
Tra i problemi individuati ci sono i seguenti:
- Informazioni trapelate su sottoreti, firmware, ID connessione FTTH, indirizzi IP e MAC nella fase prima di passare l'autenticazione.
- Salva le password degli utenti nel registro in chiaro.
- Archiviazione in testo normale delle credenziali per la connessione a reti wireless e password.
- Overflow dello stack sul server HTTP.
- La presenza nel firmware di una chiave privata per i certificati SSL, scaricabile tramite HTTPS ("curl https: //host/privkeySrv.pem").
Nella prima analisi, la superficie di attacco non è enorme:
- - solo HTTP / HTTPS è in ascolto per impostazione predefinita sulla LAN
- - È anche possibile abilitare una CLI telnetd (non accessibile per impostazione predefinita) sulla porta 23 / tcp utilizzando credenziali hardcoded nell'interfaccia di amministrazione web.Inoltre, a causa della mancanza di un firewall per la connettività IPv6, tutti i servizi interni saranno accessibili tramite IPv6 (da Internet).
Per quanto riguarda la backdoor identificata per l'attivazione telnet, il ricercatore lo menziona Il codice del server http contiene un gestore di richieste speciali "/ Telnet", così come un gestore "/ fh" per l'accesso privilegiato.
Inoltre, nel firmware sono stati trovati parametri di autenticazione e password hardcoded. In totale, sono stati identificati 23 account nel codice del server http, collegati a diversi provider. E per quanto riguarda l'interfaccia CLI, è possibile avviare un processo telnetd separato con privilegi di root sulla porta di rete 26 passando uno script base64 oltre a definire una password generale "GEPON" per connettersi a telnet.
Infine, se sei interessato a saperne di più, puoi farlo controllare il seguente collegamento.