The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Атака Cable Haunt, позволяющая получить контроль над кабельными модемами

11.01.2020 09:36

Исследователи безопасности из компании Lyrebirds раскрыли сведения об уязвимости (CVE-2019-19494) в кабельных модемах на базе чипов Broadcom, позволяющей получить полный контроль над устройством. По предположению исследователей, проблеме подвержены около 200 миллионов устройств в Европе, применяемых разными кабельными операторами. Для проверки своего модема подготовлен скрипт, оценивающий активность проблемного сервиса, а также рабочий прототип эксплоита для совершения атаки при открытии в браузере пользователя специально оформленной страницы.

Проблема вызвана переполнением буфера в сервисе, предоставляющем доступ к данным спектрального анализатора, который позволяет операторам диагностировать проблемы и учитывать уровень помех при кабельном подключении. Сервис обрабатывает запросы чрез jsonrpc и принимает соединения только во внутренней сети. Эксплуатация уязвимости в сервисе оказалась возможна благодаря двум факторам: сервис не был защищён от применения техники "DNS rebinding" из-за некорректного использования WebSocket и в большинстве случаев предоставлял доступ на основе предопределённого инженерного пароля, общего для всех устройств модельного ряда (спектральный анализатор является отдельным сервисом на своём сетевом порту (обычно 8080 или 6080) со своим инженерным паролем доступа, который не пересекается с паролем от web-интерфейса администратора).

Техника "DNS rebinding" позволяет при открытии пользователем определённой страницы в браузере установить WebSocket-соединение с сетевым сервисом во внутренней сети, недоступным для прямого обращения через интернет. Для обхода применяемой в браузерах защиты от выхода за пределы области текущего домена (cross-origin) применяется смена имени хоста в DNS. На DNS-сервере атакующих настраивается поочерёдная отдача двух IP-адресов: на первый запрос отдаётся реальный IP сервера со страницей, а затем возвращается внутренний адрес устройства (например, 192.168.10.1). Время жизни (TTL) для первого ответа выставляется в минимальное значение, поэтому при открытии страницы браузер определяет реальный IP сервера атакующего и загружает содержимое страницы. На странице запускается JavaScript-код, который ожидает истечения TTL и отправляет второй запрос, который теперь определяет хост как 192.168.10.1. Это позволяет из JavaScript обратиться к сервису внутри локальной сети, обойдя ограничение cross-origin.

После получения возможности отправки запроса к модему атакующий может эксплуатировать переполнение буфера в обработчике спектрального анализатора и добиться выполнения кода с правами root на уровне прошивки. После этого атакующий получает полный контроль над устройством, что позволяет изменить любые настройки (например, подменять DNS-ответы через перенаправление DNS на свой сервер), отключить обновление прошивки, подменить прошивку, перенаправить трафик или вклиниться в сетевые соединения (MiTM).

Уязвимость присутствует в типовом обработчике Broadcom, который используется в прошивках кабельных модемов различных производителей. В процессе разбора поступающих через WebSocket запросов в формате JSON из-за ненадлежащей проверки данных хвост указанных в запросе параметров может быть записан в область за пределами выделенного буфера и переписать часть стека, в том числе адрес возврата и сохранённые значения регистров.

В настоящее время уязвимость подтверждена в следующих устройствах, которые были доступны для изучения в процессе исследования:

  • Sagemcom F@st 3890, 3686;
  • NETGEAR CG3700EMR, C6250EMR, CM1000 ;
  • Technicolor TC7230, TC4400;
  • COMPAL 7284E, 7486E;
  • Surfboard SB8200.


 
  1. Главная ссылка к новости (https://cablehaunt.com/...)
  2. OpenNews: Уязвимость в умных телевизорах Supra, позволяющая вывести фиктивное видео
  3. OpenNews: Удалённо эксплуатируемая уязвимость в маршрутизаторах D-Link
  4. OpenNews: Представлен инструмент для проведения атак "DNS rebinding"
  5. OpenNews: Зафиксирована атака по подмене DNS на уязвимых потребительских маршрутизаторах
  6. OpenNews: Уязвимость в модемах ARRIS (Motorola)
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/52169-modem
Ключевые слова: modem, coax
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (187) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 10:50, 11/01/2020 [ответить] [﹢﹢﹢] [ · · · ]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +11 +/
    Знаете, что самое печальное други мои? А то что вот вышла новость, думаете в этой стране почешутся провайдеры бегом проверять свои девайсы на уязвимости? А вот хрен, будут стоять дырявые, каждый раз, когда подобные новости выходят почти всем похрену.
    Потом ещё когда вас в гугле будут пинать по подозрительной активности, и по звонку в саппорт вы будете жаловаться, они будут топить за то, что это вы кашперского не обновили или какая-нибудь подобная дичь.

    A верх жести, это если с вашего, так называемого "терминала", который пров завёл вам, и вы не имеете к нему никаких админских прав, где прошивка от дяди ляо с протухшим ядром, которого нет даже в самых разложившихся центосях, завладевший им злоумышленник начнёт рассылать какое-нить цопэ или иснтрукции приготовления и применения по известным местам какой-нибудь боньбы, или участвовать в дудосах важных для "дворца" сервисов, а вам, чисто по случайности "повезло" быть среди взломанных счастливчиков, отгадайте с 3х раз, к кому приедет "с вопросами", в первую очередь, тащмайор с инструментами?!

     

     ....большая нить свёрнута, показать (74)

  • 1.4, Аноним (6), 10:59, 11/01/2020 [ответить] [﹢﹢﹢] [ · · · ]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +4 +/
    Я правильно понимаю, что это DOCSIS модемы?
    Они достаточно широко распространены даже в Москве, не говоря про Европу и США.
     
  • 1.8, Нанобот (ok), 11:12, 11/01/2020 [ответить] [﹢﹢﹢] [ · · · ]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    подозреваю, что используя dns rebinding можно получить доступ к 90-95% всех подобных устройств, используя логин/пароль admin/admin
     

     ....большая нить свёрнута, показать (34)

  • 1.44, Аноним (44), 15:11, 11/01/2020 [ответить] [﹢﹢﹢] [ · · · ]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • –3 +/
    я уж думал про дайлапу новость...
     
  • 1.45, Аноним (45), 16:46, 11/01/2020 [ответить] [﹢﹢﹢] [ · · · ]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • –5 +/
    В 20k20 году взламывать модемы проводные Карл, когда с приходом цифровой сингулярности 5G интернет подключает каждого к потоку прямо через в мозг.
     

     ....большая нить свёрнута, показать (43)

  • 1.96, Fedd (ok), 14:33, 12/01/2020 [ответить] [﹢﹢﹢] [ · · · ]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    Проверил один такой, анализатор спектра обнаружил пейлоуд заслал, но выдал
    Spectrum Analyser rejecting crash payload and do not crash: Not vulnerable
    роутер не завис, однако интернет отвалился
     
  • 1.131, Cyber100 (ok), 06:45, 14/01/2020 [ответить] [﹢﹢﹢] [ · · · ]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • –1 +/
    кабельные мопеды в 2020.
    рукалицо.
     
     
  • 2.140, pofigist (?), 14:17, 14/01/2020 [^] [^^] [^^^] [ответить]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +1 +/
    Чем тебя не устраивает ~10Gbps в обе стороны?
     
     
  • 3.148, Аноним (-), 18:04, 14/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    > Чем тебя не устраивает ~10Gbps в обе стороны?

    Это походу еще более теоретическая цифирь чем мегабиты в вафле.

     
     
  • 4.155, Pofigis (?), 09:02, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +1 +/
    Это DOCSIS 4.0 детка... :)
     
  • 2.141, Сейд (ok), 14:24, 14/01/2020 [^] [^^] [^^^] [ответить]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    Предоставляемая скорость передачи данных на 2020 год — симметричные 2 Гбит/c.
     
     
  • 3.144, пох. (?), 17:22, 14/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    хде, блжад?

     
     
  • 4.149, Аноним (-), 18:05, 14/01/2020 [^] [^^] [^^^] [ответить]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    > хде, блжад?

    Там же где 600Мбит/с по вафле - в рекламке производителя.

     
     
  • 5.152, Сейд (ok), 23:54, 14/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    Польша: 2000/120 Мбит/с, https://www.vectra.pl/oferta/1222/.
     
     
  • 6.156, Pofigis (?), 09:03, 15/01/2020 [^] [^^] [^^^] [ответить]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    Ух ты! В Польше оказывается есть интернет... :)
     
     
  • 7.158, пох. (?), 09:48, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +1 +/
    врут! Нет в польше никакого интернета, и быть не может - и цодов там нет (https://www.arubacloud.com/cloud-computing/prices.aspx разумеется, врет, и где написано "pl", на самом деле - разумеется, все размещено в Воронеже) и разработчиков нет, и вообще они там еще с деревьев не слезли.

     
     
  • 8.167, pofigist (?), 12:03, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +1 +/
    У меня был грустный опыт общения с польскими интернетами, где до сих пор 256к эт... текст свёрнут, показать
     
     
  • 9.168, пох. (?), 12:06, 15/01/2020 [^] [^^] [^^^] [ответить]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    не вижу проблем Точнее вижу - слишком много гуанохостингов со слишком хорошими ... текст свёрнут, показать
     
     
  • 10.170, pofigist (?), 12:26, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    Которые славу богу обычно сидят на таком дохлом канале, что особых проблем не пр... текст свёрнут, показать
     
  • 9.172, Сейд (ok), 12:47, 15/01/2020 [^] [^^] [^^^] [ответить]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    На основании данных https www speedtest net global-index проводной интернет в ... текст свёрнут, показать
     
     
  • 10.175, pofigist (?), 13:51, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    На заборе xyz написано, а там - дрова лежат Практика демонстрирует немного иные... текст свёрнут, показать
     
     
  • 11.178, Сейд (ok), 14:41, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    Там практика Speedtest net, а у тебя чья практика ... текст свёрнут, показать
     
     
  • 12.180, pofigist (?), 15:58, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    Невалидность данных Speedtest net - общеизвестна ... текст свёрнут, показать
     
     
  • 13.181, Сейд (ok), 16:26, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • –1 +/
    То ли дело данные pofigist Общеизвестно же ... текст свёрнут, показать
     
  • 6.159, пох. (?), 09:49, 15/01/2020 [^] [^^] [^^^] [ответить]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    йапнулось. Видимо, перегрузили ;-)

     
  • 4.150, Сейд (ok), 20:11, 14/01/2020 [^] [^^] [^^^] [ответить]  []     [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    В США: https://www.xfinity.com/networkmanagement.
     
     
  • 5.157, пох. (?), 09:46, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    так там вроде два разных предложения - "docics 3.чтототам" и следом,  после точки - "а некоторым кастомерам особая уважуха - симметричные 2g через fiber"

    Ну так, собственно, некоторым-то у нас и 10g приходит тем же способом - и внутри там обычный ethernet.

     
     
  • 6.169, Сейд (ok), 12:22, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    Да, я ошибся, по DOCSIS там всего 1000/35 Мбит/с. Но по ссылке выше я привел тариф польского провайдера, предоставляющего по DOCSIS 2000/120 Мбит/с, что уже немало.
     
     
  • 7.171, pofigist (?), 12:31, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    > Да, я ошибся, по DOCSIS там всего 1000/35 Мбит/с. Но по ссылке
    > выше я привел тариф польского провайдера, предоставляющего по DOCSIS 2000/120 Мбит/с,
    > что уже немало.

    Ну они как обычно - все еще сидят на DOCSIS 3.0, хотя с той поры появились 3.1 и 4.0 :)

    Хотя... Вот пример - https://www.unitymedia.de/privatkunden/internet/internet/internet-premium-120/
    Обратите внимание на мах. тариф... И это - DOCSIS 3.1, то есть - 10Gbps в кабеле. Они кстати были первые кто внедрил сей стандарт (10Gbps). Но более 120Mbps - юзверям не предлагают. :)

     
     
  • 8.174, Сейд (ok), 12:54, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    У Vectra DOCSIS 3 1 ... текст свёрнут, показать
     
     
  • 9.176, pofigist (?), 13:52, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • +/
    Ну тогда должно быть 10Gbps в кабеле ... текст свёрнут, показать
     
     
  • 10.177, Сейд (ok), 14:05, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • –2 +/
    А зачем, если больше 2000 120 Мбит с из провайдеров никто всё равно не даёт, а 1... текст свёрнут, показать
     
     
  • 11.179, pofigist (?), 15:57, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • –1 +/
    Ндааа Логика офигенна - сколько же тогда по-твоему можно подключить к GPON, е... текст свёрнут, показать
     
     
  • 12.182, Сейд (ok), 16:40, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • –2 +/
    А потом все эти 128 человек вечером захотят почитать TUT BY, но вот только не вс... текст свёрнут, показать
     
     
  • 13.183, pofigist (?), 16:49, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • –1 +/
    Твоя квалификация как сетевого инженера уже очевидна, успокойся пожалуйста И по... текст свёрнут, показать
     
     
  • 14.184, Сейд (ok), 17:07, 15/01/2020 [^] [^^] [^^^] [ответить]      [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]
  • –1 +/
    Согласно стандарту DOCSIS 3 1 скорость передачи данных по направлению к абоненту... текст свёрнут, показать
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2025 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру