Bir güvenlik araştırmacısı, çok yaygın Arris yönlendirici modellerinde kimliği doğrulanmış bir uzaktan kod yürütme güvenlik açığı buldu.
Güvenlik araştırmacısı Yerodin Richards, Arris yönlendiricilerinde kimliği doğrulanmış bir uzaktan kod yürütme (RCE) güvenlik açığı buldu. Bu, ISP’lerin tipik olarak müşterilerin telefon ve internet erişimi için ödünç olarak sağladığı yönlendirici türüdür.
Sorumlu ifşanın ardından Richards, ironik bir şekilde doğrulamayı kendisine karşı nasıl kullandığını gösteren bir Kavram Kanıtı (PoC) yayınladı.
Etkilenen cihazlar
Richards, Arris Router Firmware sürüm 9.1.103 kimlik doğrulamalı RCE istismarının, Karayipler ve Latin Amerika’da yaygın olarak bulunabilen cihazlar olan TG2482A, TG2492 ve SBG10 modellerine karşı test edildiğini söylüyor.
Richards’a göre Arris (CommScope tarafından satın alındı) ile temasa geçtiğinde şirket, güvenlik açığı bulunan aygıt yazılımını çalıştıran cihazların kullanım ömrünün sonuna geldiğini (EOL) ve artık şirket tarafından desteklenmediğini söyledi. Bu, SBG10’un kendi web sitesinde aktif olarak listelenmesine rağmen, muhtemelen güncellenemeyecekleri anlamına gelir.
kimliği doğrulanmış
Kimliği doğrulanmış bir RCE, bir saldırganın güvenlik açığından yararlanabilmesi için oturum açma kimlik bilgilerine ihtiyaç duyacağı anlamına gelir. Ancak, çok karmaşık olduğundan veya kurulum sürecinde bunun gerekli bir adım olduğu yeterince açık söylenmediğinden, kullanıcıların büyük bir çoğunluğu varsayılan yönlendirici kimlik bilgilerini değiştirmemiş olabilir. Bu nedenle, bir saldırgan varsayılan kimlik bilgilerini öğrendiğinde, güvenlik açığından mutlu bir şekilde yararlanabilir.
Richards ekledi:
“Ayrıca, geçiş sırasında kimlik bilgilerini güvence altına almak için https ayarı olmadığını da belirtmekte fayda var. Bence bu, onu varsayılan kimlik bilgilerini kullanarak başarıya ulaşan Mirai gibi botnet’ler için mükemmel bir hedef haline getiriyor ve daha deneyimli saldırganların bunu atlatmak için daha akıllı yolları olabilir.”
Kendinizi nasıl korursunuz?
Satıcının veya ISP’lerin bu güvenlik açığını düzeltmesini beklemediğimiz için araştırmacıdan tavsiyesini istedik.
“Azaltmaya gelince, kolay ve etkili bir yol, yalnızca güçlü bir parola kullanmaktır, ancak yine de bu, bir saldırganın parolayı içeren korumasız trafiğe kulak misafiri olmasını ve hatta erişim elde etmek için tarayıcıyı manipüle etmesini engellemez. Azaltma için daha arzu edilen bir biçim, ürün yazılımını tamamen değiştirmek olacaktır, ancak sizin de söylediğiniz gibi, sağlayıcılar güncellemeleri zorlama konusunda gevşek davranıyor ve bir son kullanıcının bunu kendisinin yapmasının kolay bir yolu yok. Bir kök kabuğu elde etmek için istismarı çalıştırabilir ve oradan yama yapmaya çalışabilirler ama bu kesinlikle basit bir çözüm değil.”
güvenlik açığı
Ortak Güvenlik Açıkları ve Etkilenmeler (CVE) veritabanı, kamuya açıklanmış bilgisayar güvenlik açıklarını listeler. Bu güvenlik açığı CVE-2022-45701 altında listelenecektir.
Araştırmacı, kabuk betiği komut enjeksiyonunu gerçekleştirmek için seçenekleri test ederken şunu buldu: $ kabul edildi. Bu umut vericiydi, ancak eşleştirildiğinde $( nötralize edildi. Bu, geliştiricinin kasıtlı olarak bu şekilde komut enjeksiyonunu engellemeye çalıştığı anlamına gelir. Ancak, doğrulamada hala bir kusur var. İzin verilmeyen karakterlerden herhangi biri veya $( nesnede ise, nesne ayarlanmaz ve önceki değerini korur. Ancak, durumunda \ doğrulamanın ardından yükten kaldırılır. Bu, ayarlamamızı sağlar $() girerek $\(). Bu, aynı zamanda nötralize edilerek kolayca önlenebilirdi. $ veya ( bireysel olarak.
Bu bilgiyle Richards, bir netcat ters tcp kabuk kodu ekleyebildi ve bir kabuk alabildi.
Güvenlik açıklarını yalnızca rapor etmiyoruz; bunları belirliyor ve eyleme öncelik veriyoruz.
Siber güvenlik riskleri asla bir manşetin ötesine geçmemelidir. Malwarebytes Güvenlik Açığı ve Yama Yönetimi’ni kullanarak güvenlik açıklarını yedekte tutun.