• Saltar al contenido principal
  • Saltar a la barra lateral principal
  • Saltar al pie de página

Una al Día

Boletín de noticias de Seguridad Informática ofrecido por Hispasec

Usted está aquí: Inicio / Vulnerabilidades / Encontrada puerta trasera en routers D-Link

Encontrada puerta trasera en routers D-Link

14 octubre, 2013 Por Hispasec Deja un comentario

Craig Heffner, investigador de seguridad especializado en hardware y firmware, ha encontrado una puerta trasera en los routers D-Linkque permitiría evadir la autenticación y acceder al portal web deadministración del dispositivo sin necesidad de conocer las credenciales de acceso.
Craig descargó el firmware versión 1.13 para el dispositivo DIR-100 y efectuó un análisis de ingeniería inversa para extraer los archivos correspondientes al servidor web que el router publica para su administración.
Desensamblando el binario correspondiente al servidor web (/bin/webs) encontró que la función ‘alpha_auth_check‘, devuelve un valor AUTH_OK para ciertos valores de las cabeceras de las peticiones HTTP. Este valor significa que la autenticación ha sido exitosa y se procede con la petición.
Viendo el código reconstruido por Craig podemos observar varias curiosidades:
  

Cuando se accede a las carpetas “graphics/” y “public/” devuelve AUTH_OK. Esto es lógico ya que se trata de carpetas que contienen recursos públicos, necesarios para construir el interfaz de preautenticación. Pero si observamos existe una comparación de cadenas vía ‘strcmp‘ donde se está comparando la cadena actual del User-agent y cierto valor literal. Es decir, si nuestro ‘User-agent‘ es “xmlset_roodkcableoj28840ybtide”entonces el sistema nos dará por autenticados abriéndonos paso a cualquier lugar del interfaz.
Graig se molestó en averiguar a través de SHODAN cuantos routers D-Link podrían estar afectados. Esto es posible dado que SHODAN indexa la información publica de los sistemas que están expuestos en Internet. Los routers afectados por este problema podrían ser los siguientes:
D-Link DIR-100
DIR-100
DI-524
DI-524UP
DI-604S
DI-604UP
DI-604+
TM-G5240
(algunos comentarios en su blog apuntan a que el modelo DIR-615 podría estar afectado)
También estarían afectados los routers que usen dicho firmware como los Planex:
BRL-04UR
BRL-04CW
Finalmente, alguien identificado como Travis Goodspeed profundizó en el trabajo de Craig Heffner y encontró que la cadena asociada a la puerta trasera es usada por una utilidad incluida en el sistema «/bin/xmlsetc«. Todo apunta a que este mecanismo de evasión podría ser usado para tareas administrativas automatizadas y no un diseño impuesto en el dispositivo de manera maliciosa.
De momento, hasta que el fabricante tome cartas en el asunto, los dispositivos que empleen dicho firmware serían vulnerables a esta puerta trasera. Basta con cambiar el ‘User-agent‘ del navegador (puede hacerse con un plugin o a través de un proxy http) a la cadena “xmlset_roodkcableoj28840ybtide”para obtener acceso privilegiado.
Más información:
Reverse Engineering a D-Link Backdoor
http://www.devttys0.com/2013/10/reverse-engineering-a-d-link-backdoor
Client for the DLink Backdoor, /bin/xmlsetc
http://pastebin.com/aMz8eYGa
David García
dgarcia@hispasec.com
Twitter: @dgn1729

Compártelo:

  • Twitter
  • Facebook
  • LinkedIn
  • Reddit
  • Telegram
  • WhatsApp

Publicaciones relacionadas

Publicado en: Vulnerabilidades Etiquetado como: D-Link

Interacciones con los lectores

Deja una respuesta Cancelar la respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Barra lateral principal

Buscador

Email Newsletter

Suscríbase y reciba Una al Día en su correo.

UADCAST

Populares de UAD

  • Ciberataque a Cellebrite, publicados 4Tb de datos de la compañía
  • Slack reinicia todas las contraseñas tras un bug que exponía los hashes de las contraseñas de algunos usuarios
  • Descubierta nueva vulnerabilidad en las cámaras IP de la conocida marca DAHUA
  • Chema Alonso entrevista a Richard Stallman - Parte II
  • Reacción ante ciberataques... en vacaciones

Entradas recientes

  • Slack reinicia todas las contraseñas tras un bug que exponía los hashes de las contraseñas de algunos usuarios
  • Ciberataque a Cellebrite, publicados 4Tb de datos de la compañía
  • Reacción ante ciberataques… en vacaciones
  • Routers comerciales de Cisco afectados por varias vulnerabilidades.
  • Descubierta nueva vulnerabilidad en las cámaras IP de la conocida marca DAHUA
  • Los ataques de ransomware conocidos apenas supondrían una sexta parte del total
  • SAMBA puede poner en riesgo miles de instalaciones si no son actualizadas a tiempo.
  • Correo electrónico
  • Facebook
  • LinkedIn
  • RSS
  • Twitter

Footer

Una al Día

Una Al Día nació a raíz de un inocente comentario en un canal IRC hace casi 19 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

Entradas recientes

  • Slack reinicia todas las contraseñas tras un bug que exponía los hashes de las contraseñas de algunos usuarios
  • Ciberataque a Cellebrite, publicados 4Tb de datos de la compañía
  • Reacción ante ciberataques… en vacaciones
  • Routers comerciales de Cisco afectados por varias vulnerabilidades.
  • Descubierta nueva vulnerabilidad en las cámaras IP de la conocida marca DAHUA

Etiquetas

0-day Android Apple Chrome Ciberataque cve D-Link Facebook Google iOS leak linux malware Microsoft Mozilla OpenSSL Oracle OS X Phishing PHP ransomware rce vulnerabilidad vulnerabilidades Windows WordPress

Copyright © 2022 · Hispasec