УЯЗВИМОСТЬ УПРАВЛЕНИЯ СЕТЬЮ ОБЕСПЕЧИВАЕТ КАБЕЛЬНЫЕ МОДЕМЫ ДЛЯ ХАКИНГА

Ошибочный байпас аутентификации SNMP можно использовать для захвата сотен тысяч кабельных модемов со всего мира.

Сотни тысяч шлюзовых интернет-устройств по всему миру, в первую очередь, кабельных модемов для жилых помещений, уязвимы для взлома из-за серьезной слабости в реализации протокола Simple Network Management Protocol.

SNMP используется для идентификации, мониторинга и удаленной конфигурации автоматических сетевых устройств. Он поддерживается и включен по умолчанию во многих устройствах, включая серверы, принтеры, сетевые концентраторы, коммутаторы и маршрутизаторы.

Независимые исследователи Ezequiel Fernandez и Bertin Bervis недавно нашли способ обойти проверку подлинности SNMP на 78 моделях кабельных модемов, которые ISP со всего мира предоставили своим клиентам.
Их сканирование в Интернете показало сотни тысяч устройств, конфигурации которых могли быть изменены удаленно через слабость SNMP, которую они нашли и назвали StringBleed.

В версиях 1 и 2 протокола SNMP нет строгой аутентификации. Они обеспечивают доступ только для чтения или записи в конфигурацию устройства с помощью паролей, называемых строками сообщества. По умолчанию эти пароли являются «общедоступными» для доступа только на чтение и «приватными» для доступа на запись, но производители устройств могут изменять их в своих реализациях, и обычно рекомендуется это делать.

Утечка чувствительных данных конфигурации через стандартную «общедоступную» строку сообщества SNMP — известная проблема, которая затрагивает многие устройства на протяжении многих лет. В 2014 году исследователи из Rapid7 обнаружили утечки SNMP почти в полу миллионе подключенных к Интернету устройств, сделанных Brocade, Ambit и Netopia.

Однако то, что обнаружили Ezequiel Fernandez и Bertin Bervis, гораздо хуже: устройства от нескольких поставщиков, которые принимают практически любое значение для строки сообщества SNMP и разблокируют доступ на чтение и запись к своим данным конфигурации.

Два исследователя вначале обнаружили небольшое количество уязвимых устройств, включая кабельный модем Cisco DPC3928SL, который теперь является частью портфеля продуктов Technicolor, после приобретения компанией подразделения Cisco Connected Devices в 2015 году.

Исследователи утверждают, что, когда они сообщили о проблеме Technicolor, компания сказала им, что это было результатом неправильной конфигурации доступа одного провайдера в Мексике, а не проблемы с самим устройством.

Это побудило исследователей к более широкому интернет-сканированию, которое привело к обнаружению 78 уязвимых модемных моделей мод от 19 производителей, включая Cisco, Technicolor, Motorola, D-Link и Thomson.

Число уязвимых устройств, которые могут быть нацелены непосредственно через Интернет, варьируется от менее 10 для некоторых моделей до десятков и сотен тысяч для других. Например, в интернете есть почти 280 000 уязвимых устройств Thomson DWG850-4, большинство из которых находятся в Бразилии, утверждают исследователи.

Исследователи полагают, что основная проблема заключается в реализации SNMP, используемой модемами, а не в результате неправильной настройки ISP.

Независимо от причины проблема серьезная, так как злоумышленники могут использовать этот недостаток для извлечения административных и Wi-Fi-паролей или для захвата устройств путем изменения их конфигураций.

Пользователи могут сделать не так много, если их провайдер снабдил их уязвимым устройством, не спрашивая другую модель или не устанавливая собственный модем. К сожалению, не многие интернет-провайдеры разрешают своим жилым клиентам использовать свои собственные шлюзовые устройства, поскольку они хотят единообразия и возможностей удаленного управления в своих сетях.

Определить, является ли конкретное устройство уязвимым для этой проблемы, возможно, но требует немного работы. Сканер онлайн-порта, такой как ShieldsUp, может использоваться для определения того, отвечает ли устройство на запросы SNMP через его общедоступный IP-адрес.

Если SNMP открыт, можно использовать другой интерактивный инструмент, чтобы проверить, возвращает ли SNMP-сервер устройства действительные ответы при использовании «общедоступных» или случайных строк сообщества. По крайней мере это может указывать на проблему утечки информации.

Comments are closed.