Krytyczny błąd w setkach domowych ruterów umożliwia przejęcie kontroli

Badacze odkryli bardzo poważny błąd w domowych ruterach wielu producentów, umożliwiający dowolnemu użytkownikowi zalogowanie się do urządzenia z uprawnieniami administratora. W sieci jest dostępnych około 12 milionów podatnych ruterów.

Wśród natłoku poważnych błędów odkrytych w roku 2014 ten będzie miał swoje miejsce w czołówce. Misfortune Cookie, bo tak swoje odkrycie nazwali badacze z firmy Check Point, zagraża milionom domowych użytkowników. Atakujący, który uzyska dostęp administracyjny do rutera, może dowolnie kontrolować cały ruch internetowy wszystkich domowych urządzeń.

Nieszczęśliwe ciasteczko

W trakcie swoich audytów badacze z firmy Check Point natrafili na błąd w sposobie przetwarzania ciasteczek w serwerze WWW RomPager firmy AllegroSoft (wersje wcześniejsze niż 4.34), który jest jednym z najpopularniejszych rozwiązań w domowych ruterach wielu producentów. Błąd istniał w oprogramowaniu od roku 2002. Choć producent oprogramowania omawianą lukę znalazł i załatał w roku 2005, to jest ona nadal obecna w milionach urządzeń podłączonych do internetu. Badacze znaleźli co najmniej 12 milionów podatnych ruterów na całym świecie. Opublikowali także listę około 200 modeli, w których z dużą dozą prawdopodobieństwa błąd występuje (przetestowali co najmniej jeden podatny egzemplarz każdego modelu). Dominują na niej rutery takich producentów jak:

• D-Link
• TP Link
• Zyxel
• Huawei
• ZTE

choć niewykluczone, że podatnych urządzeń jest znacznie więcej.

Odkryty błąd (CVE-2014-9222) polega na nieprawidłowym przetwarzaniu żądań klienta zawierających odpowiednio skonstruowane ciasteczko. Na skutek błędu serwera dochodzi do manipulacji pamięcią urządzenia, przez co można oszukać ruter, by uznał użytkownika za uprawnionego administratora. W ten sposób atakujący może zalogować się do rutera, nie znając hasła administratora. Należy także pamiętać, że na największe ryzyko wystawione są urządzenia dostępne w sieci publicznej.

Błąd ma oczywiście swoje logo i domenę

Możliwe skutki błędu dla użytkowników

Przejęcie uprawnień administratora na podatnym ruterze może mieć bardzo niebezpieczne skutki dla użytkowników. Atakujący może podmienić ustawienia serwerów DNS i przechwytywać ruch kierowany do wybranych domen na swoim serwerze. Nie jest to wcale nierealny scenariusz ataku – dokładnie w taki sposób okradziono już konta bankowości elektronicznej co najmniej kilkunastu Polaków. Atakujący mogą nie tylko okradać konta – posiadając kontrolę nad zapytaniami DNS mogą kontrolować ruch do dowolnie wybranych serwerów.

Inne możliwe scenariusze ataku to chociażby modyfikowanie w locie pobieranych z internetu plików wykonywalnych i infekowanie ich złośliwym oprogramowaniem – takie ataki również były już obserwowane w sieci.

Co robić?

Niestety w tej chwili brak jeszcze informacji o podatności konkretnych wersji oprogramowania a nawet informacja o podatności konkretnych modeli nie jest w 100% pewna – wiemy jedynie, że co najmniej jeden z egzemplarzy danego modelu z listy był podatny w trakcie testów. Jeśli zatem macie taką możliwość i jeszcze tego nie zrobiliście, to za wszelką cenę odetnijcie dostęp do panelu administracyjnego z internetu. Warto także rozważyć zainstalowanie alternatywnego oprogramowania na ruterze (żadne z rozwiązań tego typu nie znalazło się na liście podatnych). Może też być to dobra okazja do wymiany rutera, jeśli nie jest kompatybilny z oprogramowaniem alternatywnym.

Wkrótce spodziewamy się publikacji producentów na temat podatności poszczególnych modeli i dostępności aktualizacji oprogramowania.