Бэкдор в оборудовании DLink

[Nadir Zaitov]

http://www.securitylab.ru/vulnerability/446143.php

Бэкдор в маршрутизаторах D-Link

Дата публикации: 14.10.2013
Дата изменения: 14.10.2013
Опасность: Критическая
Наличие исправления: Нет
Количество уязвимостей: 1
CVSSv2 рейтинг: (AV:N/AC:L/Au:N/C:C/I:C/A:C/E:F/RL:U/RC:C) = Base:10/Temporal:9.5
CVE ID: Нет данных
Вектор эксплуатации: Удаленная
Воздействие: Компрометация системы
CWE ID: Нет данных
Наличие эксплоита: Функциональный эксплоит
Уязвимые продукты: D-Link DIR-100 Ethernet Broadband Router
D-Link DI-524
D-Link DI-604 Broadband Router

Уязвимые версии:
DIR-100 версия прошивки 1.13, возможно другие версии
DI-524 версия прошивки 1.13, возможно другие версии
DI-524UP версия прошивки 1.13, возможно другие версии
DI-604S версия прошивки 1.13, возможно другие версии
DI-604+ версия прошивки 1.13, возможно другие версии
TM-G5240
Описание:
Уязвимость позволяет удаленному пользователю получить полный доступ к устройству.

Уязвимость существует из-за наличия бэкдора в исходном коде web-сервера маршрутизаторов. Удаленный пользователь может получить неавторизованный доступ к устройству.

URL производителя: www.dlink.com

Решение: Способов устранения уязвимости не существует в настоящее время.

Владимир, можно получить комментарии? Многие из нас пользуются оборудованием Dlink дома.

[dh09]

если я правильно припоминаю обсуждение на одном из ресурсов - при определенной (достаточно длинной) последовательности символов в User-Agent браузера при подключении к маршрутизатору без запроса логин/пароль предоставляются админский доступ.
воспроизводится на многих устройствах (из локалки или из "мира" - не помню, у меня не длинк) если в ядре есть модуль безопасности скомпилированный в определенный промежуток времени (если не путаю) - то есть закладка разработчиков, возможно для облегчения отладки.
глобальная техподдержка вменяемого ответа, afaik, не дала.

[Rooslan Khayrov]

если в ядре есть модуль безопасности скомпилированный в определенный промежуток времени (если не путаю) - то есть закладка разработчиков, возможно для облегчения отладки.
Ядро ни при чём. Уязвимость в HTTP-сервере. Закладка не для отладки даже, а для того чтобы встроенная в прошивку утилита способом могла менять настройки девайса, обращаясь к его веб-интерфейсу. Т.е. штатное функционирование девайса завязано на присутствие этой закладки.
Уязвимость даёт доступ к административному веб-интерфейсу (естественно), и через ещё одну кривую страницу в нём — к выполнению произвольного кода.
Подробности здесь: http://www.devttys0.com/2013/10/reverse-engineering-a-d-link-backdoor/

[a2group]

это настолько старые модели, не думаю что ими кто то до сих пор пользуется

[Dolphin]

Насколько я помню, в длинках есть галка "зобанить хттп-сервер на внешнем интерфейсе". Думаю, затыкается где-то в фаерволе, так что, если нормально сконфигурить, то проблемы как таковой нет.

[a2group]

Вообще не понятно зачем наружу веб интерфейсом светить..А если учесть что пароль по дефолту у 99.9% пользователей admin admin то все они уязвимы и без бэкдоров..

[Tsoy Vladimir]

Владимир, можно получить комментарии? Многие из нас пользуются оборудованием Dlink дома.Давно не заходил на форум, только увидел сообщение.
Надир, я тут не при чём, т.к. уже полтора года как не имею отношения к D-Link'у )
Ну а личное мнение, как уже тут написали выше, если нет особой необходимости, нужно закрывать доступ к роутеру снаружи (не только у D-Link).