Dos modelos de enrutadores TP-Link son vulnerables a fallas de día cero que permiten a los atacantes tomar el control de ambos. Los enrutadores en cuestión son los modelos TP-Link WR940N y TL-WR941ND, según IBM Security, que detectó los errores y publicó un análisis técnico sobre sus descubrimientos el lunes.
"En el caso de estos enrutadores, encontramos que un día cero en el enrutador podría permitir a terceros malintencionados tomar el control del dispositivo desde una ubicación remota", escribió Grzegorz Wypych con IBM Research. De acuerdo con la documentación de TP-Link en los enrutadores, ambos modelos han sido descontinuados. Sin embargo, una búsqueda en línea reveló ambos modelos disponibles en tiendas como Target y Walmart.
Se recomienda a los propietarios de enrutadores TL-WR940N que actualicen al firmware TL-WR940Nv3 Como parte de un análisis más grande de IBM Security sobre seguridad WLAN, Wypych examinó ambos modelos de enrutadores TP-Link y encontró que las vulnerabilidades están vinculadas a un panel de control basado en la web. dispositivos con. "Los controles que se colocaron en la interfaz del propietario no pueden proteger el enrutador real y podrían permitir que un atacante aproveche ese hecho", escribió Wypych junto con el coautor del informe Limor Kessem.
Rastrean el error a una interfaz basada en web que ofrece características como una pestaña de Herramientas del sistema / Diagnóstico. Aquí, los usuarios avanzados pueden enviar paquetes de respuesta / solicitud de eco del Protocolo de mensajes de control de Internet (ICMP) a través de ping. Los dispositivos de red utilizan las solicitudes / respuestas ICMP para enviar mensajes de error e información operativa que indica si un servicio solicitado no está disponible o si no se puede acceder a un enrutador.
"Pueden enviar paquetes a una dirección IPv4 oa un nombre de host (en el enrutador TP-Link objetivo)", escribieron los investigadores. "Los controles de seguridad del panel pueden limitar el tipo y el número de caracteres, pero nada impide que el usuario intercepte solicitudes con un proxy Burp Suite (una herramienta gráfica para probar la seguridad de las aplicaciones web) y se formen incorrectamente".
Esta es una apertura que un atacante puede explotar. "Cuando un usuario envía solicitudes de ping, se muestra un mensaje en la consola del dispositivo que hace referencia al código nativo compilado al binario del firmware", dijo el investigador. A través de una serie de pasos complejos descritos en la publicación, los investigadores pudieron crear condiciones adecuadas para un ataque de desbordamiento de búfer en el contexto del lenguaje de ensamblaje "Microprocesador sin etapas de tuberías interbloqueadas" (MIPS) del enrutador.
"No realizaremos un análisis línea por línea aquí ... Lo que es interesante al respecto es la llamada a la función strcpy, que es el inicio del control de proceso httpd de TP-Link, el binario vulnerable. Lo que tenemos aquí es un problema clásico de desbordamiento de búfer ", escribieron los investigadores.
La investigación de Wypych y Kessem sobre las vulnerabilidades del enrutador está en curso. Ambos citaron un estudio realizado por el American Consumer Institute (PDF) que encontró que el 83 por ciento de los enrutadores tienen vulnerabilidades de "alto riesgo".
"La mayoría de los fabricantes subcontratan firmware que se desarrolla teniendo en cuenta los costos", dijeron los investigadores. “Como tal, rara vez es elaborado y, a juzgar por la cantidad de vulnerabilidades del enrutador, también rara vez se prueba o es seguro. Lo peor es el proceso de actualización y actualización: ¿cuándo fue la última vez que recibió un mensaje que le pedía que actualice el firmware de su enrutador? Probablemente casi nunca ".
Según la actualización de firmware de TP-Link, los parches estuvieron disponibles el 12 de marzo de 2019 para ambos. Se recomienda a los propietarios de enrutadores TL-WR940N que actualicen a los propietarios de enrutadores TL-WR940Nv3 y TL-WR941ND a TL-WR941NDv6.
"En el caso de estos enrutadores, encontramos que un día cero en el enrutador podría permitir a terceros malintencionados tomar el control del dispositivo desde una ubicación remota", escribió Grzegorz Wypych con IBM Research. De acuerdo con la documentación de TP-Link en los enrutadores, ambos modelos han sido descontinuados. Sin embargo, una búsqueda en línea reveló ambos modelos disponibles en tiendas como Target y Walmart.
Se recomienda a los propietarios de enrutadores TL-WR940N que actualicen al firmware TL-WR940Nv3 Como parte de un análisis más grande de IBM Security sobre seguridad WLAN, Wypych examinó ambos modelos de enrutadores TP-Link y encontró que las vulnerabilidades están vinculadas a un panel de control basado en la web. dispositivos con. "Los controles que se colocaron en la interfaz del propietario no pueden proteger el enrutador real y podrían permitir que un atacante aproveche ese hecho", escribió Wypych junto con el coautor del informe Limor Kessem.
Rastrean el error a una interfaz basada en web que ofrece características como una pestaña de Herramientas del sistema / Diagnóstico. Aquí, los usuarios avanzados pueden enviar paquetes de respuesta / solicitud de eco del Protocolo de mensajes de control de Internet (ICMP) a través de ping. Los dispositivos de red utilizan las solicitudes / respuestas ICMP para enviar mensajes de error e información operativa que indica si un servicio solicitado no está disponible o si no se puede acceder a un enrutador.
"Pueden enviar paquetes a una dirección IPv4 oa un nombre de host (en el enrutador TP-Link objetivo)", escribieron los investigadores. "Los controles de seguridad del panel pueden limitar el tipo y el número de caracteres, pero nada impide que el usuario intercepte solicitudes con un proxy Burp Suite (una herramienta gráfica para probar la seguridad de las aplicaciones web) y se formen incorrectamente".
Esta es una apertura que un atacante puede explotar. "Cuando un usuario envía solicitudes de ping, se muestra un mensaje en la consola del dispositivo que hace referencia al código nativo compilado al binario del firmware", dijo el investigador. A través de una serie de pasos complejos descritos en la publicación, los investigadores pudieron crear condiciones adecuadas para un ataque de desbordamiento de búfer en el contexto del lenguaje de ensamblaje "Microprocesador sin etapas de tuberías interbloqueadas" (MIPS) del enrutador.
"No realizaremos un análisis línea por línea aquí ... Lo que es interesante al respecto es la llamada a la función strcpy, que es el inicio del control de proceso httpd de TP-Link, el binario vulnerable. Lo que tenemos aquí es un problema clásico de desbordamiento de búfer ", escribieron los investigadores.
La investigación de Wypych y Kessem sobre las vulnerabilidades del enrutador está en curso. Ambos citaron un estudio realizado por el American Consumer Institute (PDF) que encontró que el 83 por ciento de los enrutadores tienen vulnerabilidades de "alto riesgo".
"La mayoría de los fabricantes subcontratan firmware que se desarrolla teniendo en cuenta los costos", dijeron los investigadores. “Como tal, rara vez es elaborado y, a juzgar por la cantidad de vulnerabilidades del enrutador, también rara vez se prueba o es seguro. Lo peor es el proceso de actualización y actualización: ¿cuándo fue la última vez que recibió un mensaje que le pedía que actualice el firmware de su enrutador? Probablemente casi nunca ".
Según la actualización de firmware de TP-Link, los parches estuvieron disponibles el 12 de marzo de 2019 para ambos. Se recomienda a los propietarios de enrutadores TL-WR940N que actualicen a los propietarios de enrutadores TL-WR940Nv3 y TL-WR941ND a TL-WR941NDv6.
0 Comentarios