138.000 Arris-modems kwetsbaar door hardcoded ssh-account
138.000 modems van fabrikant Arris lopen het risico om te worden overgenomen doordat ze via het internet toegankelijk zijn en over een hardcoded ssh-account beschikken waarvan de inloggegevens openbaar zijn gemaakt. Het gaat om de Arris-modems NVG589 en NVG599.
De modems blijken over een superuser-account te beschikken dat via ssh kan inloggen. Eenmaal ingelogd kan dit account netwerkinstellingen aanpassen, firmware installeren en een kernelmodule bedienen die als enig doel het injecteren van advertenties in onversleuteld webverkeer lijkt te hebben. Er zijn echter geen aanwijzingen dat de module op dit moment bij gebruikers van Arris-modems actief is. Een kwetsbaarheid in de shell-client die voor het inloggen wordt gebruikt zorgt ervoor dat een aanvaller code met rootrechten kan uitvoeren, zo laten onderzoekers van securitybedrijf Nomotion weten.
In de modems, die onder andere door internetprovider AT&T worden gebruikt, werden ook nog andere problemen gevonden. De onderzoekers besloten de kwetsbaarheden direct openbaar te maken, zonder Arris te waarschuwen, in de hoop dat ze sneller worden gepatcht. Gebruikers kunnen het superuser-account echter wel zelf uitschakelen, zoals de onderzoekers in hun blogpost duidelijk maken. Volgens de Nederlandse beveiligingsonderzoeker Victor Gevers zijn er wereldwijd 138.000 van de kwetsbare Arris-modems via internet toegankelijk.
Ben benieuwd hoe lang het duurt voor deze wordt opgenomen bij de bekende IOT wormen...
Waarom zou je een kernel module willen laden die advertenties, http verkeer, toevoegd??!!
Ok, wordt niet gebruikt. Maar waarom staat ie er dan toch.
Hoe kun je vanuit het internet op een modem inloggen? Die heeft normaal geen eigen publiek IP adres. Via een inlog op het IP adres kom je normaal terecht op de router of PC die achter een modem hangt.
Hoe kun je vanuit het internet op een modem inloggen? Die heeft normaal geen eigen publiek IP adres. Via een inlog op het IP adres kom je normaal terecht op de router of PC die achter een modem hangt.
Jazeker wel. Meeste modems zijn ook routers, dus die hebben wel degelijk een public IP.
tis geen bug, maar een ongedocumenteerde optie !
Waarom zou je een kernel module willen laden die advertenties, http verkeer, toevoegd??!!
Ok, wordt niet gebruikt. Maar waarom staat ie er dan toch.
Ik heb wel eens gehoord dat er soms zelfs kernel modules in modems zitten die IP adressen veranderen! Niet alleen
in de headers maar zelfs ook in de payload data. Het moest nie magge.
Een modem is echt wat anders dan een router. Veel consumenten verwarren die twee wel eens, maar bij een specialistische site zoals hier, mag je er toch van uit gaan dat de termen correct gebruikt worden.
Maar als ik de brontekst lees, betreft het hier inderdaad routers van Arris en geen modem.
Een modem is echt wat anders dan een router. Veel consumenten verwarren die twee wel eens, maar bij een specialistische site zoals hier, mag je er toch van uit gaan dat de termen correct gebruikt worden.
Maar als ik de brontekst lees, betreft het hier inderdaad routers van Arris en geen modem.
Nope, zijn beiden VDSL-gateways. En ook daarop kun je via internet op inloggen via het publieke IP-adres. Om het nog schimmiger te maken: Elk kabel-, ADSL- en VDSL-modem heeft en een publiek IP-adres en een zogenaamd intern (niet-publiek) netwerk IP-adres, vergelijkbaar met je thuisnetwerk. Het publieke IP-adres kun je zien via bijvoorbeeld https://www.whatsmyip.org/[/url, met een beetje geluk kun je het interne netwerk IP-adres zien via de instellingen van het modem zelf en is niet zichtbaar via dezelfde website.
Leuk programmaatje van Nir Sofer is NetworkInterfacesView om Device Name Connection Name IP Address en Subnet Mask te zien, dus mobiel bijvoorbeeld Wifi verbinding met IP adres en Ethernet IP adres.
Dus zonder beetje geluk van anoniem van 19:52, maar met een van de fijne free tooltjes van deze Israelische developer
luntrus
Hoewel een aanvaller vanaf internet niet direct dat interne IP-adres van jouw router kan bereiken, kan dat wel via jouw webbrowser - indien de router een webinterface heeft (wat bijna altijd zo is bij thuis- en MKB routers). Dit heet een CSRF (Cross-Site Request Forgery) attack. Omdat een aanvaller vaak wel vanaf internet kan bepalen welk merk en type modem/router jij gebruikt (door "remote fingerprinting" maar bijv. ook als je er op een forum een vraag over gesteld hebt), en wat daarvan het default beheerwachtwoord is, of waar je niet van uitgelogd bent, of waarvoor jouw webbrowser het wachtwoord onthoudt, kan hij (blind) proberen instellingen op jouw modem/router te wijzigen door in een webpagina die jij bezoekt een fictieve URL zoals "http://192.168.0.1/ChangeDNSServers&DNS1=a.b.c.d" op te nemen.
En dat geldt natuurlijk niet alleen voor jouw modem/router, maar voor elk device (ook kleinere IoT devices) aan jouw interne netwerk.
Ook voor devices aan interne (vaak als "veilig" beschouwde) netwerken geldt dus dat je default wachtwoorden moet wijzigen. Overigens niet alleen vanwege CSRF aanvalsrisico's, ook op "trusted devices" kan onbetrouwbare software zijn geïnstalleerd zoals in https://www.kaspersky.com/blog/switcher-trojan-attacks-routers/13771/ beschreven wordt (een foute app op een smartphone, bij wijze van spreken van een vriendje van je zoon, volstaat).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
