Les appareils utilisant le logiciel Arcadyan sont à risque
MIS À JOUR
Un enfant de 12 ans
authentification
Une vulnérabilité de contournement qui pourrait permettre aux attaquants de compromettre les réseaux et les appareils a été découverte dans au moins 20 modèles de routeurs, affectant potentiellement des millions d'utilisateurs.
Découvert par Evan Grant de Tenable, le critique
traversée de chemin
La faille est suivie comme CVE-2021–20090, avec un CVSS de 9,8, et est exploitable par des attaquants distants non authentifiés.
Grant a découvert le problème, présent depuis au moins 12 ans, dans les routeurs Buffalo, en particulier le logiciel d'interface Web basé sur Arcadyan.
Chasse aux insectes
Dans
un article de blog
, le chercheur a expliqué que l'une des premières choses qu'il examine lors de l'analyse d'une application ou d'une interface Web est la façon dont elle gère l'authentification.
Grant a découvert que la fonctionnalité
bypass_check()
vérifiait seulement autant d'octets que dans
bypass_list
cordes.
Grant a écrit : « Cela signifie que si un utilisateur essaie d'atteindre http://router/images/someimage.png, la comparaison correspondra car
/images/
est dans la liste de contournement, et l'URL que nous essayons d'atteindre commence par
/images/
.
"Les
bypass_check()
La fonction ne se soucie pas des chaînes qui viennent après, telles que 'someimage.png'.
« Et si nous essayions d'atteindre
/images/../
? Par exemple, essayons
/images/..%2finfo.html
. Les
/info.html
L'URL contient normalement toutes les bonnes informations LAN/WAN lorsque nous nous connectons pour la première fois à l'appareil, mais renvoie tous les utilisateurs non authentifiés à l'écran de connexion.
En savoir plus sur les dernières nouvelles sur les vulnérabilités de sécurité
Grant a pu exploiter cette
vulnérabilité
pour contourner l'authentification, permettant à un utilisateur non authentifié d'accéder à des pages auxquelles il ne devrait pas pouvoir accéder.
Deux autres vulnérabilités, CVE-2021-20091 et CVE-2021-20092, ont été découvertes et ne sont actuellement connues que pour affecter des routeurs Buffalo spécifiques.
Grant a dit
La gorgée quotidienne
: « CVE-2021-20091 permettrait à un attaquant authentifié (ou utilisant le contournement d'authentification susmentionné) d'accéder à l'appareil en racine en injectant une ligne dans le fichier de configuration du routeur, ce qui active le service telnet au redémarrage.
« CVE-2021-20092 permet aux attaquants non authentifiés de lire des paramètres de configuration sensibles, y compris, pour certains modèles, le mot de passe administrateur de l'interface Web. »
Le problème a depuis été corrigé dans les appareils Buffalo WSR-2533DHPL2, avant et y compris la version du micrologiciel 1.02, et WSR-2533DHP3 avant et y compris la version 1.24.
Des appareils plus vulnérables
Après avoir confirmé q
ue la vulnérabilité était présente dans le routeur Buffalo, Grant a déclaré qu'il avait découvert qu'elle affectait également au moins 20 autres modèles."Cette [vulnérabilité] semble être partagée par presque tous les routeurs/modems fabriqués par Arcadyan que nous avons pu trouver, y compris
dispositifs
qui ont été initialement vendus dès 2008 », a écrit Grant.
Grant a déclaré que cette dernière découverte suscite des inquiétudes quant au risque de
attaques de la chaîne d'approvisionnement
, une menace toujours croissante et sérieuse pour les organisations et les utilisateurs de technologies.
"Il y a une conversation beaucoup plus large à avoir sur la façon dont cette vulnérabilité dans le micrologiciel d'Arcadyan existe depuis au moins 10 ans et a donc trouvé son chemin à travers la chaîne d'approvisionnement dans au moins 20 modèles chez 17 fournisseurs différents", a écrit Grant.
Il a dit
La gorgée quotidienne
que les vulnérabilités étaient « assez faciles à découvrir » et « insignifiantes à exploiter.
« Par conséquent, nous avons été surpris qu'ils n'aient pas été découverts et corrigés par le fabricant ou les vendeurs qui vendent les appareils concernés au cours de la dernière décennie », a ajouté Grant.
DOIT LIRE
Une multiplication par quatre des attaques de la chaîne d'approvisionnement logicielle prévue en 2021 – rapport
"La vulnérabilité de contournement d'authentification existe en raison d'une liste de dossiers qui relèvent d'une" liste de contournement "pour l'authentification et d'une validation incorrecte des chemins fournis, conduisant à la traversée des chemins.
« Pour la plupart des appareils répertoriés, cela signifie que la vulnérabilité peut être déclenchée par plusieurs chemins.
« La gravité de la faille dépend d'autres vulnérabilités au sein de l'appareil, telles que CVE-2021-20091 présente dans le routeur Buffalo qui accorde l'accès root.
« Il a été découvert qu'au moins deux fournisseurs différents présentaient d'autres vulnérabilités propres à leurs propres appareils qu'un attaquant pourrait potentiellement connecter en série pour une exploitation ultérieure. »
Le chercheur a également noté que cette dernière divulgation est « une leçon importante sur la façon dont il faut aborder la recherche sur l'électronique grand public ».
Il a ajouté : « Le fournisseur qui vous vend l'appareil n'est pas nécessairement celui qui l'a fabriqué, et si vous trouvez des bogues dans le micrologiciel d'un routeur grand public, ils pourraient potentiellement affecter beaucoup plus de fournisseurs et d'appareils que celui que vous recherchez.
Cet article a été mis à jour pour inclure des commentaires supplémentaires d'Evan Grant, qui a découvert les vulnérabilités.
EN RELATION
Aaron Portnoy - "Il n'y a pas de solution miracle pour les ransomwares ou les attaques de la chaîne d'approvisionnement"
