Liczne podatności zidentyfikowane w modemie Cisco EPC 3928

W świecie cyber security istnieje takie powiedzenie, że firmy dzielą się na dwa rodzaje: takie do których się włamano i takie, które o tym jeszcze nie wiedzą. 

W zasadzie w większości raportów analitycznych w Polsce i na świecie przejawia się pewien zgodny obraz, w którym na czoło wysuwają się następujące aspekty:

Słabym elementem bezpieczeństwa jest człowiek, a zorganizowane grupy cyberprzestępców wykorzystują socjotechnikę w połączeniu z siłą technologii.

  • standardowe zabezpieczenia typu firewall czy antywirus oparte na znanej bazie sygnatur nie zapobiegają największym włamaniom, które maja charakter zaawansowany i ukierunkowany na daną organizację
  • szeroki strumień możliwości nieautoryzowanego dostępu otwarty został przez kanał mobilny, WIFI i powszechne BYOD.

Kilka miesięcy temu Secorda Security Team “rozpracował” nieautoryzowany dostęp do dość popularnego modemu wyprodukowanego przez Cisco a obecnie utrzymywanego przez Technicolor. Jest to ciekawy przypadek, gdyż pokazuje jak suma małych podatności odsłania duże ryzyko. Taki scenariusz jest nie do wykrycia zwykłym automatycznym skanerem bezpieczeństwa. 

Luki bezpieczeństwa dotyczące modemu Cisco EPC 3928 pozwalają atakującemu wstrzyknąć kod do webowego interfejsu sieciowego i doprowadzić do awarii urządzenia lub nawet wykonywać niektóre z poleceń administracyjnych bez uwierzytelnienia. Skorzystanie z kombinacji kilku słabych punktów, jest w stanie zdalnie pobrać i zdekodować plik konfiguracyjny modemu lub wydobyć hasło do sieci WiFi. Znalezione podatności są min. klasy denial of service, unathorized command execution oraz stored cross site scripting; inne warianty urządzenia, w postaci zbliżonych modeli, również mogą zawierać te same błędy. Umiejętne wykorzystanie tych luk w odpowiedniej kolejności umożliwia przejęcie sterowania nad urządzeniem. 

Modem ten jest urządzeniem powszechnie montowanym przez TV kablowe. Włamywacz może przejąć kontrolę nad dużą liczbą takich urządzeń i dalej kontrolować ruch odbywający się przez domowe WiFi. Można sobie wyobrazić jak niebezpieczny może być atak polegający na wprowadzeniu złośliwego oprogramowania na laptop dyrektora, prezesa lub innej osoby z dużymi uprawnieniami do firmowych danych. Zainfekowany w domowej sieci laptop z backdoor`em na pokładzie jest wkrótce wpinany do firmowej sieci i łańcuch ataku typu APT zostaje rozpoczęty.

Poniższe nagranie demonstruje działanie exploita stworzonego przez nasz zespół, który poprzez powiązanie kilku podatności, wydobywa z urządzenia plik konfiguracyjny a w konsekwencji dane autoryzacyjne. 

 

Producenci urządzenia oraz poszczególne zespoły CERT wydały już odpowiednie oświadczenie, w którym ostrzegają użytkowników przed potencjalnym zagrożeniem. Do czasu wprowadzenia łatek przez dostawców, należy zweryfikować dostęp do webowego panelu zarządzania i upewnić się, że nie jest on osiągalny z zewnętrznej sieci.

Oferujemy dostawcom internetowym weryfikację bezpieczeństwa implementacji zbadanych przez nas urządzeń, lub analizę w szerszym zakresie, obejmująca kompleksowe podejście do bezpieczeństwa. Jeśli jesteś zainteresowany, odezwij się do nas.

 

Poniżej znajduje się pełna lista zidentyfikowanych podatności:

  • Unathorized Command Execution
  • Gateway Stored Cross Site Scripting
  • Gateway Reflective Cross Site Scripting
  • Gateway Client List Denial of Service
  • Gateway HTTP Corruption Denial of Service
  • Boot Information Disclosure

Identyfikatory CVE:

  • CVE-2015-6401
  • CVE-2015-6402
  • CVE-2016-1328
  • CVE-2016-1336
  • CVE-2016-1337

Identyfikatory Cisco:

  • CSCux24935
  • CSCux24938
  • CSCux24941
  • CSCux24948
  • CSCuy28100
  • CSCux17178