В роутерах D-Link нашли опасные бреши

Исследователь из Силезского технологического университета Блажей Адамчик (Błażej Adamczyk) опубликовал отчет об обнаруженных им уязвимостях в восьми моделях маршрутизаторов D-Link. Проэксплуатировав все три бреши, злоумышленник может получить полный контроль над устройством. Несмотря на то что эксперт уведомил производителя о своей находке еще в мае, проблема до сих пор не решена.

В зоне риска находятся следующие модели роутеров:

  • DWR-116 с прошивкой до версии 1.06
  • DIR-140L с прошивкой до версии 1.02
  • DIR-640L с прошивкой до версии 1.02
  • DWR-512 с прошивкой до версии 2.02
  • DWR-712 с прошивкой до версии 2.02
  • DWR-912 с прошивкой до версии 2.02
  • DWR-921 с прошивкой до версии 2.02
  • DWR-111 с прошивкой до версии 1.01.

Есть вероятность, что баги присутствуют и в других устройствах вендора.

По словам специалиста, компания сообщила, что выпустит патчи только для моделей DWR-116 и DWR-111, так как остальные более года назад были сняты с производства и не подпадают под действие «пожизненной гарантии». Тем не менее, за четыре месяца не появилось даже двух обещанных исправлений. В сентябре Адамчик уведомил вендора о том, что обнародует детали брешей, если в течение тридцати дней компания не выйдет на связь. Производитель проигнорировал предупреждение, и специалист выложил результаты своего исследования в открытый доступ, а также опубликовал видео, в котором демонстрирует эксплуатацию уязвимостей.

Для трехступенчатой атаки злоумышленнику потребуется доступ к веб-панели управления устройством. Получить его можно либо по локальной сети, либо через Интернет, в зависимости от настроек. Эксперты по безопасности рекомендуют пользователям уязвимых роутеров отключить удаленный доступ к панели администратора.

Уязвимость CVE-2018-10822 относится к брешам обхода каталога (directory traversal). Она позволяет читать произвольные файлы в любых директориях с помощью HTTP-запроса с символами /.. или // после GET /uir. Исследователь пояснил, что этот баг уже находили и исправляли ранее под номером CVE-2017-6190, однако, как выяснилось, в пропатченных версиях он сохранился.

Вторая брешь, CVE-2018-10824, связана с учетными данными администратора, которые хранятся в открытом виде. Получив доступ к файлу при помощи CVE-2018-10822, злоумышленник сможет авторизоваться в системе.

Воспользовавшись третьей уязвимостью, CVE-2018-10823, взломщик может удаленно выполнить код на устройстве. Баг позволяет внедрить в параметр Sip страницы chkisg.htm команды оболочки и получить полный контроль над устройством. Стоит отметить, что этой бреши нет в роутерах D-Link DIR 140L и D-Link DIR 640L.

Защищенность продуктов D-Link неоднократно подвергалась сомнению. В январе 2017 года Федеральная торговая комиссия США даже подала иск против компании. В нем говорилось, что производитель не заботится о безопасности своих клиентов и не держит обещаний. Представители D-Link Systems в ответ заметили, что в иске нет данных о том, что из-за халатности вендора кто-то реально пострадал.

Тем не менее, информация о найденных в устройствах компании уязвимостях регулярно появляется в новостях. Так, в сентябре 2017 года независимый исследователь Пьер Ким (Pierre Kim) обнаружил более десяти багов в беспроводном роутере DIR 850L, в мае 2018 года «Лаборатория Касперского» нашла еще четыре ошибки в модели D‑Link DIR-620. В июле этого года появились сообщения о DDoS-атаках на маршрутизаторы D-Link и Dasan. В построенном злоумышленниками ботнете было около 3 тыс. IP-адресов.

Источник: https://threatpost.ru/serious-vulnerabilities-in-d-link-routers-disclosed/28792/