Spesialis dari konsultan keamanan Denmark menemukan kerentanan kritis baru di
Cable Haunt (CVE-2019-19494). Ini terkait dengan chip Broadcom, yang ditempatkan di modem kabel - perangkat untuk transmisi data dua arah melalui kabel koaksial atau optik. Mari kita bicara tentang apa esensi kerentanan dan siapa yang terpengaruh.
/ CC BY / TomApa itu kerentanan?
Kerentanan itu ditemukan kembali pada Mei tahun lalu, tetapi informasi tentang itu baru saja muncul. Masalahnya
terkait dengan salah satu komponen chip Broadcom standar yang disebut penganalisis spektrum. Ini melindungi perangkat dari gangguan dan lonjakan sinyal. Penyedia menggunakannya untuk men-debug koneksi. Penyerang dapat menggunakan penganalisis spektrum untuk mencegat paket dan mengarahkan lalu lintas.
Ada dua cara untuk mengimplementasikan serangan. Yang pertama adalah mengirim skrip berbahaya ke browser korban yang akan memaksanya untuk terhubung ke modem. Menurut ArsTechnica, operasi ini akan berhasil, karena soket web tidak dilindungi oleh mekanisme
CORS (Cross-Origin Resource Sharing), yang memungkinkan Anda untuk memblokir permintaan ke sumber daya pada halaman web dari domain lain.
Opsi kedua adalah
melakukan serangan
rebinding DNS pada modem, yang biasanya digunakan penyerang untuk menyusup ke jaringan lokal. Para insinyur Lyrebirds
dalam laporannya menyediakan algoritma serangan umum:
- Menjalankan skrip JavaScript berbahaya di mesin korban. Script menghasilkan permintaan dari browser dan mengirimkannya ke server DNS. Ini mengembalikan alamat IP server penyerang, dari mana sistem mengunduh kode berbahaya.
- Klien sekali lagi meminta alamat IP, tetapi kali ini server mengembalikan alamat lokal dari modem kabel .
- Setelah modem menjawab - menurut para ahli Denmark, prosedur dapat memakan waktu hingga satu menit - peretas mendapat kesempatan untuk mengirim permintaan kepadanya secara langsung (untuk penganalisis spektrum).
Secara umum, skema dapat direpresentasikan sebagai berikut:
Dalam laporan pakar keamanan informasi, Anda juga dapat menemukan contoh permintaan yang dipertukarkan antara browser pengguna dan server. Setelah menyelesaikan semua operasi, hacker dapat “on the fly” mengubah firmware modem, memodifikasi pengaturan server DNS atau alamat MAC, melakukan serangan MITM, mendapatkan dan menetapkan nilai
OMP SNMP , dan juga menjadikan perangkat jaringan bagian dari botnet.
Insinyur Denmark menguji kerentanan dalam praktiknya - mereka memperkenalkan dua eksploitasi POC untuk
modem Sagemcom F @ st 3890 dan
Technicolor TC7230 . Anda dapat menemukan kode di repositori yang sesuai di GitHub.
Editor dari ZDnet
mencatat bahwa cukup sulit untuk menerapkan serangan menggunakan Cable Haunt. Hal ini terutama disebabkan oleh kenyataan bahwa tidak mungkin untuk mengakses komponen yang rentan (penganalisis spektrum) dari Internet - hanya tersedia di jaringan internal modem. Oleh karena itu, peretas tidak akan dapat mengeksploitasi kerentanan tanpa malware di mesin korban dan tanpa menggunakan metode rekayasa sosial. Namun, mendeteksi serangan semacam itu juga cukup bermasalah, karena ada banyak metode untuk menyembunyikan aktivitas berbahaya dengan mendapatkan akses root pada perangkat.
Siapa yang rentan
Di Eropa saja, sekitar 200 juta perangkat dipengaruhi oleh Cable Haunts. Threatpost
mencatat bahwa sejumlah besar modem juga rentan di Amerika Utara. Pada saat yang sama, HelpNetSecurity
melaporkan bahwa jumlah pasti perangkat yang memerlukan tambalan bermasalah untuk dievaluasi. Banyak produsen perangkat keras jaringan menggunakan solusi Broadcom untuk menulis firmware mereka sendiri. Kerentanan dapat memanifestasikan dirinya secara berbeda dalam sistem produsen yang berbeda.
Meskipun diketahui bahwa masalahnya adalah pada modem Sagemcom, Technicolor, NetGear dan Compal. Para penulis memberikan skrip (
diposting secara publik di GitHub ) yang dengannya setiap orang dapat menguji perangkat keras mereka. Jika skrip ini menonaktifkan modem, maka ia rentan:
exploit = '{"jsonrpc":"2.0","method":"Frontend::GetFrontendSpectrumData","params":{"coreID":0,"fStartHz":' + 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA' +',"fStopHz":1000000000,"fftSize":1024,"gain":1},"id":"0"}' console.log(exploit) var socket = new WebSocket("ws://192.168.100.1:8080/Frontend", 'rpc-frontend')
Beberapa anggota komunitas TI mengatakan bahwa Cable Haunt juga dipengaruhi oleh sejumlah modem Cisco, Arris, TP-Link, dan Zoom. Daftar lengkap model perangkat dapat ditemukan
di situs web resmi untuk kerentanan di Bagian “Apakah Saya Terkena?”.
Para insinyur Lyrebirds merekomendasikan agar penyedia layanan Internet memeriksa peralatan mereka untuk CVE-2019-19494. Jika tes ini positif, maka Anda harus menghubungi pabrik besi sesegera mungkin dan meminta firmware yang dimodifikasi. Broadcom
mengatakan bahwa mereka merilis patch yang sesuai kembali pada Mei 2019, tetapi tidak diketahui pasti berapa banyak perangkat pengguna yang menerima pembaruan ini.
Salah satu penghuni Hacker News dalam utas tematik
mencatat bahwa kebijakan banyak penyedia asing yang tidak menjual modem kepada pengguna tetapi menyewakannya menciptakan kesulitan tambahan. Mereka tidak mengungkapkan nama pengguna dan kata sandi untuk akun administrator, oleh karena itu, bahkan jika diinginkan, pengguna tidak dapat memodifikasi firmware sendiri.
Para ahli berharap bahwa sekarang informasi tentang kerentanan telah diketahui oleh khalayak luas, semua perangkat yang rentan akan menerima "tambalan" dalam waktu dekat.
Apa yang kami tulis di blog korporat VAS Experts: