Cisco dicht ernstig lek in modems UPC, ZeelandNet en Ziggo
Cisco heeft een belangrijke update voor een ernstig lek in verschillende kabelmodems uitgebracht, die onder andere door klanten van UPC, ZeelandNet en Ziggo worden gebruikt. Via het lek, dat zich in de webserver van de modem bevindt, kan een aanvaller willekeurige code op het apparaat uitvoeren.
Hierdoor bestaat de mogelijkheid dat een aanvaller de modem kan overnemen. Om het lek te misbruiken zou het versturen van een speciaal geprepareerd HTTP-request volstaan. Cisco heeft het lek een maximale CVSS-score van 10.0 gegeven, wat de impact van de kwetsbaarheid weergeeft. De aanval zou namelijk eenvoudig zijn uit te voeren en heeft een zeer grote impact.
Kwetsbare modellen
Het probleem in de kabelmodems werd door beveiligingsonderzoeker Chris Watts van Tech Analysis direct aan Cisco gerapporteerd. Er zijn dan ook geen meldingen van misbruik bekend. De kwetsbaarheid is aanwezig in de Cisco DPC3212, EPC3212, DPC3825, EPC3825, DPC3010, EPC3010, DPC3925, DPQ3925 en EPC3925 modems. De EPC3825 en EP3925 zijn bij UPC in gebruik, terwijl Ziggo-klanten de EPC3212 en EPC3925 als kabelmodems gebruiken. Ook ZeelandNet blijkt de EPC3925 en EPC3212 te gebruiken.
Cisco zegt dat het de beveiligingsupdate voor het probleem onder de serviceproviders heeft uitgerold die het als klant heeft. Het is dan ook niet de bedoeling dat abonnees van deze serviceproviders de update zelf installeren. "Klanten met Cisco-producten die via derde partijen worden geleverd, zoals geautoriseerde resellers of serviceproviders, moeten met deze partijen contact opnemen over de te nemen maatregelen", zo laat de netwerkgigant weten. Internetproviders kunnen de modems op afstand updaten indien nodig.
ZeelandNet
De Zeeuwse internetprovider ZeelandNet laat op de eigen website weten dat klanten zich geen zorgen hoeven te maken. De provider zou de firmware-update voor de kwetsbare modellen al onder abonnees hebben uitgerold. "Onze leverancier heeft bevestigd dat DELTA/ZeelandNet de juiste updates op tijd heeft uitgevoerd en de kwetsbaarheden, zoals vandaag via verschillende media werden gemeld, niet van toepassing zijn voor klanten van DELTA/ZeelandNet", aldus de provider.
UPC en Ziggo
Providers UPC en Ziggo verklaren tegenover Webwereld dat de aan klanten geleverde kabelmodems niet kwetsbaar zijn. Volgens een woordvoerder van Ziggo beschikken de modems namelijk over een recentere firmware-versie die niet kwetsbaar is. Ook UPC meldt dat het gerapporteerde lek vanwege de nieuwere firmware "geen impact" heeft.
Immers vraag ik me af wanneer UPC van plan is haar klanten in te lichten over deze kwetsbaarheid ..... ? Iemand al een bericht gehad? of welke wijze dan ook.....
Het Zenderaanbod is ook wel snor bij UPC.
Maar goed daar gaat het niet om,ik krijg de Technicolor modem omdat ik niet wil dat mijn Horizonbox wordt geactiveerd voor internet en telefonie.
Zo heb ik meer vrijheid in met mijn instellingen.
Ik zal ook mijn netwerknaam hetzelfde blijven houden,en de wachtwoorden hetzelfde.
Zodat ik met mijn apparaten die van het interne netwerk gebruik maken ik niets hoef te doen.
De netwerkadressen zal ik intern ook namelijk hetzelfde houden,en ik blijf dan ook gebruik van openvpn via Mullvad maken.
Maar goed weer terug naar de Cisco modems,deze worden nog heel veel gebruikt,dus wel fijn dat er een update komt.
Dat voor de mensen die nog zo'n koelkast hebben staan,want die dingen zijn best groot voor een modem.
Kudo's aan Zeelandnet: http://www.zeelandnet.nl/overzeelandnet/kwetsbaarheid-cisco
Als je goed in de aankondiging kijkt heeft Cisco deze bug pas gisteren bekend gemaakt. Dan is het ook hoogst onwaarschijnlijk dat een helpdesk dit nu al weet. Hooguit de technici die over de routers gaan.
Verder betreft het een bug in de webinterface. Dan lijkt het me niet dat deze vanaf het internet te misbruiken is, alleen vanuit je eigen netwerk.
ik weet dat het apparaat in bruikleen is, maar de achterliggende systemen en netwerken niet.
Directe schade aan de modem zul je vergoed krijgen, directe schade aan achterliggende apparatuur wordt al een stuk moeilijker (als dit uberhaupt mogelijk is, ik heb hier de kennis niet voor) en dan heb je eventueel nog indirecte schade door gegevens gestolen en misbruikt kunnen worden. Dit wordt een zeer lastige maar dit laatste kan je wel tot in het oneindige blijven volgen, al is dit kans klein.
Kudo's aan Zeelandnet: http://www.zeelandnet.nl/overzeelandnet/kwetsbaarheid-cisco
+1 voor Zeelandnet, als ik het goed begrijp hebben deze reeds de fix geïnstalleerd. Ik heb zelf geen Zeelandnet dus kan dit niet controleren maar ik vindt dat zij zeer adequaat reageren ...
bullshit:
Current Software Revision: e3200-ESIP-16-v302r125562-130611c_upc
Firmware Name: e3200-ESIP-16-v302r125562-130611c_upc.bin
Firmware Build Time: Jun 11 11:11:07 2013
JUNI 2013!!!!!
/// bij UPC staat deze dus in bridge mode
Dat betwijfel ik omdat de EPC3212 ook in de lijst met kwetsbare apparaten staat en dat is een modem-only apparaat, dus zonder ingebouwde router. De EPC3212 heeft alleen een webinterface om de modemwaardes uit te lezen.
Ik vraag me overigens wel af of zo'n modem-only apparaat wel de hardware in huis heeft om gevaarlijk te worden voor de gebruiker.
Kudo's aan Zeelandnet: http://www.zeelandnet.nl/overzeelandnet/kwetsbaarheid-cisco
Dit is omdat de [custom] firmware op de Ziggo modems niet kwetsbaar is.
Als je goed in de aankondiging kijkt heeft Cisco deze bug pas gisteren bekend gemaakt. Dan is het ook hoogst onwaarschijnlijk dat een helpdesk dit nu al weet. Hooguit de technici die over de routers gaan.
Verder betreft het een bug in de webinterface. Dan lijkt het me niet dat deze vanaf het internet te misbruiken is, alleen vanuit je eigen netwerk.
Nee, ook via Internet. Je kan toch gewoon een 'onzinnige' html request via Internet sturen,? Omdat het over een bufferoverflow gaat, maakt het niet uit dat er geen antwoord komt. Mijn foute opmerking over port 80 heb ik weggehaald
Cisco geeft aan:
"A vulnerability in the web server used in multiple Cisco Wireless Residential Gateway products could allow an unauthenticated, remote attacker to exploit a buffer overflow and cause arbitrary code execution.
The vulnerability is due to incorrect input validation for HTTP requests. An attacker could exploit this vulnerability by sending a crafted HTTP request to the affected device. Cisco has released free software updates that address this vulnerability. Workarounds that mitigate this vulnerability are not available."
Misschien is het gewoon handig,als je echt je eigen veiligheid wil regelen zelf een passende router te kopen.
Daar kan je tenminste altijd als er nieuwe firmware voor is,hem zelf bijwerken.
Although this remote management feature can be disabled in the aforementioned devices, Cisco says there is no workaround for the bug.
Uit https://isc.sans.edu/diary/Linksys+Worm+TheMoon+Summary+What+we+know+so+far/17633 (13 februari 2013):
In een volgend comment in laatstgenoemde URL suggereert "pktman" om, als workaround, port forwarding voor poort 8080 naar een niet gebruikt intern IP-adres op te zetten. Echter, of dit pakketjes daadwerkelijk wegkaapt voordat ze de https service in kwetsbare modems bereiken, weet ik niet (ik heb geen Cisco modem dus kan het niet testen).
Als noodmaatregel (totdat devices zijn geupdate) zouden ISP's verkeer naar poort 8080 van hun klanten kunnen blokkeren. Denkbaar is dat Cisco voor ISP's (zoals UPC en Ziggo) firmware heeft uitgegeven die by default geen https op 8080 heeft draaien (en/of geen HNAP ondersteunt).
Model: Cisco EPC3925
Current Software Revision: epc3925-ESIP-12-v302r125573-131230c_upc
Firmware Name: epc3925-ESIP-12-v302r125573-131230c_upc.bin
Firmware Build Time: Dec 30 12:49:43 2013
Blijkbaar gebruiken ze dus eigen firmware.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
