Nyní opravené problémy s obcházením autorizace, které ovlivňovaly modemy Cox, mohly být zneužity jako výchozí bod pro získání neoprávněného přístupu k zařízením a spuštění škodlivých příkazů.
„Tato série zranitelností ukázala způsob, jakým mohl plně externí útočník bez jakýchkoli předpokladů vykonávat příkazy a měnit nastavení milionů modemů, přistupovat k PII jakéhokoli obchodního zákazníka a získat v podstatě stejná oprávnění jako podpora ISP,“ uvedl bezpečnostní výzkumník Sam Curry v nově zveřejněné zprávě.
Po zveřejnění 4. března 2024 byly problémy s obcházením autorizace vyřešeny americkým poskytovatelem širokopásmového připojení do 24 hodin. Neexistují žádné důkazy, že by tyto nedostatky byly zneužity v praxi.
„Byl jsem opravdu překvapen zdánlivě neomezeným přístupem, který měli ISP v zákulisí k zařízením zákazníků,“ řekl Curry pro The Hacker News prostřednictvím e-mailu. „Zpětně dává smysl, že ISP by měl být schopen vzdáleně spravovat tato zařízení, ale existuje celá interní infrastruktura vybudovaná společnostmi jako Xfinity, která propojuje spotřebitelská zařízení s externě vystavenými API. Pokud by útočník našel zranitelnosti v těchto systémech, mohl by potenciálně kompromitovat stovky milionů zařízení.“
Curry a spol. již dříve zveřejnili několik zranitelností ovlivňujících miliony vozidel od 16 různých výrobců, které by mohly být zneužity k odemknutí, nastartování a sledování aut. Následný výzkum také odhalil bezpečnostní nedostatky v points.com, které mohly být použity útočníkem k přístupu k informacím o zákaznících, a dokonce k získání oprávnění k vydávání, správě a převodu bodů odměn.
Výchozím bodem nejnovějšího výzkumu je skutečnost, že podpora Cox má schopnost vzdáleně ovládat a aktualizovat nastavení zařízení, jako je změna hesla Wi-Fi a zobrazení připojených zařízení, pomocí protokolu TR-069. Curryho analýza základního mechanismu identifikovala asi 700 vystavených API koncových bodů, z nichž některé by mohly být zneužity k získání administrativních funkcí a spuštění neoprávněných příkazů zneužitím problémů s oprávněním a opakovaným přehráváním HTTP požadavků.
To zahrnuje koncový bod „profilesearch“, který by mohl být zneužit k vyhledání zákazníka a získání podrobností o jeho obchodním účtu pouze pomocí jeho jména opakovaným přehráváním požadavku, získání MAC adres připojeného hardwaru na jeho účtu, a dokonce přístup a úpravu obchodních zákaznických účtů.
Ještě znepokojivější je, že výzkum zjistil, že je možné přepsat nastavení zařízení zákazníka za předpokladu, že mají kryptografický tajný klíč, který je vyžadován při zpracování požadavků na úpravu hardwaru, a nakonec resetovat zařízení.
„To znamenalo, že útočník mohl přistoupit k tomuto API, aby přepsal konfigurační nastavení, přistoupil k routeru a vykonával příkazy na zařízení.“
V hypotetickém scénáři útoku mohl útočník zneužít tato API k vyhledání zákazníka Cox, získání jeho kompletních údajů o účtu, dotazování na jeho hardwarovou MAC adresu k získání hesel Wi-Fi a připojených zařízení a spuštění libovolných příkazů k převzetí účtů.
„Tento problém byl pravděpodobně zaveden kvůli složitostem kolem správy zákaznických zařízení, jako jsou routery a modemy,“ řekl Curry. „Vytvoření REST API, které může univerzálně komunikovat s pravděpodobně stovkami různých modelů modemů a routerů, je opravdu složité. Kdyby to viděli jako potřebu od začátku, mohli by vybudovat lepší mechanismus autorizace, který by se nespoléhal na jediný interní protokol s přístupem k tolika zařízením. Mají opravdu těžký problém k vyřešení.“
Zdroj: thehackernews.com
