Tomcat
Professional
- Messages
- 2,689
- Reaction score
- 916
- Points
- 113
Исправленные проблемы с обходом авторизации, влияющие на модемы Cox, могли быть использованы в качестве отправной точки для получения несанкционированного доступа к устройствам и запуска вредоносных команд.
"Эта серия уязвимостей продемонстрировала способ, которым полностью внешний злоумышленник без каких-либо предварительных условий мог выполнять команды и изменять настройки миллионов модемов, получать доступ к персональным данным любого бизнес-клиента и получать практически те же разрешения от службы поддержки интернет-провайдера", - сказал исследователь безопасности Сэм Карри в новом отчете, опубликованном сегодня.
После ответственного раскрытия 4 марта 2024 года проблемы с обходом авторизации были устранены американским провайдером широкополосной связи в течение 24 часов. Нет никаких доказательств того, что эти недостатки использовались в естественных условиях.
"Я был действительно удивлен, казалось бы, неограниченным доступом, который интернет-провайдеры имели за кулисами к устройствам клиентов", - сказал Карри The Hacker News по электронной почте.
"Оглядываясь назад, имеет смысл, что интернет-провайдер должен иметь возможность удаленно управлять этими устройствами, но есть целая внутренняя инфраструктура, созданная такими компаниями, как Xfinity, которая соединяет потребительские устройства с внешними API. Если злоумышленник обнаружит уязвимости в этих системах, они потенциально могут скомпрометировать сотни миллионов устройств."
Карри и соавторы ранее раскрыли несколько уязвимостей, затрагивающих миллионы автомобилей 16 различных производителей, которые могут быть использованы для разблокировки, запуска и отслеживания автомобилей. Последующие исследования также выявили недостатки в системе безопасности внутри points.com которые могли быть использованы злоумышленником для доступа к информации о клиентах и даже получения разрешений на выдачу, управление и перевод бонусных баллов.
Отправной точкой последнего исследования является тот факт, что агенты службы поддержки Cox имеют возможность удаленно управлять настройками устройства и обновлять их, например, изменять пароль Wi-Fi и просматривать подключенные устройства, используя протокол TR-069.
Проведенный Карри анализ базового механизма выявил около 700 открытых конечных точек API, некоторые из которых могут быть использованы для получения административных функций и запуска несанкционированных команд путем использования проблем с разрешениями и повторного воспроизведения HTTP-запросов.
Это включает конечную точку "profilesearch", которую можно использовать для поиска клиента и получения данных его бизнес-аккаунта, используя только его имя, повторив запрос пару раз, извлекая MAC-адреса подключенного оборудования в их учетной записи и даже получая доступ к учетным записям бизнес-клиентов и изменяя их.
Что еще более тревожно, исследование показало, что настройки устройства клиента можно перезаписать, предполагая, что он владеет криптографическим секретом, который требуется при обработке запросов на модификацию оборудования, используя его для окончательного сброса настроек и перезагрузки устройства.
"Это означало, что злоумышленник мог получить доступ к этому API, чтобы перезаписать параметры конфигурации, получить доступ к маршрутизатору и выполнить команды на устройстве",
В гипотетическом сценарии атаки субъект угрозы мог злоупотребить этими API для поиска клиента Cox, получения полных данных его учетной записи, запроса MAC-адреса его оборудования для получения паролей Wi-Fi и подключенных устройств и запуска произвольных команд для захвата учетных записей.
"Эта проблема, вероятно, возникла из-за сложностей, связанных с управлением клиентскими устройствами, такими как маршрутизаторы и модемы", - сказал Карри.
"Создание REST API, который может универсально взаимодействовать, вероятно, с сотнями различных моделей модемов и маршрутизаторов, действительно сложно. Если бы они изначально видели необходимость в этом, они могли бы встроить более совершенный механизм авторизации, который не полагался бы на один внутренний протокол, имеющий доступ к такому количеству устройств. У них есть сверхсложная проблема, которую нужно решить".
"Эта серия уязвимостей продемонстрировала способ, которым полностью внешний злоумышленник без каких-либо предварительных условий мог выполнять команды и изменять настройки миллионов модемов, получать доступ к персональным данным любого бизнес-клиента и получать практически те же разрешения от службы поддержки интернет-провайдера", - сказал исследователь безопасности Сэм Карри в новом отчете, опубликованном сегодня.
После ответственного раскрытия 4 марта 2024 года проблемы с обходом авторизации были устранены американским провайдером широкополосной связи в течение 24 часов. Нет никаких доказательств того, что эти недостатки использовались в естественных условиях.
"Я был действительно удивлен, казалось бы, неограниченным доступом, который интернет-провайдеры имели за кулисами к устройствам клиентов", - сказал Карри The Hacker News по электронной почте.
"Оглядываясь назад, имеет смысл, что интернет-провайдер должен иметь возможность удаленно управлять этими устройствами, но есть целая внутренняя инфраструктура, созданная такими компаниями, как Xfinity, которая соединяет потребительские устройства с внешними API. Если злоумышленник обнаружит уязвимости в этих системах, они потенциально могут скомпрометировать сотни миллионов устройств."
Карри и соавторы ранее раскрыли несколько уязвимостей, затрагивающих миллионы автомобилей 16 различных производителей, которые могут быть использованы для разблокировки, запуска и отслеживания автомобилей. Последующие исследования также выявили недостатки в системе безопасности внутри points.com которые могли быть использованы злоумышленником для доступа к информации о клиентах и даже получения разрешений на выдачу, управление и перевод бонусных баллов.
Отправной точкой последнего исследования является тот факт, что агенты службы поддержки Cox имеют возможность удаленно управлять настройками устройства и обновлять их, например, изменять пароль Wi-Fi и просматривать подключенные устройства, используя протокол TR-069.
Проведенный Карри анализ базового механизма выявил около 700 открытых конечных точек API, некоторые из которых могут быть использованы для получения административных функций и запуска несанкционированных команд путем использования проблем с разрешениями и повторного воспроизведения HTTP-запросов.
Это включает конечную точку "profilesearch", которую можно использовать для поиска клиента и получения данных его бизнес-аккаунта, используя только его имя, повторив запрос пару раз, извлекая MAC-адреса подключенного оборудования в их учетной записи и даже получая доступ к учетным записям бизнес-клиентов и изменяя их.
Что еще более тревожно, исследование показало, что настройки устройства клиента можно перезаписать, предполагая, что он владеет криптографическим секретом, который требуется при обработке запросов на модификацию оборудования, используя его для окончательного сброса настроек и перезагрузки устройства.
"Это означало, что злоумышленник мог получить доступ к этому API, чтобы перезаписать параметры конфигурации, получить доступ к маршрутизатору и выполнить команды на устройстве",
В гипотетическом сценарии атаки субъект угрозы мог злоупотребить этими API для поиска клиента Cox, получения полных данных его учетной записи, запроса MAC-адреса его оборудования для получения паролей Wi-Fi и подключенных устройств и запуска произвольных команд для захвата учетных записей.
"Эта проблема, вероятно, возникла из-за сложностей, связанных с управлением клиентскими устройствами, такими как маршрутизаторы и модемы", - сказал Карри.
"Создание REST API, который может универсально взаимодействовать, вероятно, с сотнями различных моделей модемов и маршрутизаторов, действительно сложно. Если бы они изначально видели необходимость в этом, они могли бы встроить более совершенный механизм авторизации, который не полагался бы на один внутренний протокол, имеющий доступ к такому количеству устройств. У них есть сверхсложная проблема, которую нужно решить".
