• Saltar al contenido principal
  • Saltar a la barra lateral principal
  • Saltar al pie de página

Una al Día

Boletín de noticias de Seguridad Informática ofrecido por Hispasec

Usted está aquí: Inicio / Vulnerabilidades / Acceso remoto no documentado en routers DSL Linksys y Netgear

Acceso remoto no documentado en routers DSL Linksys y Netgear

5 enero, 2014 Por Hispasec Dejar un comentario

Se ha publicado un estudio del router WAG200G de la firma Linksys, perteneciente a Cisco, en el que entre otros datos, se hace eco de la existencia de una conexión de servicio no documentada que permitiría acceder de manera remota y sin autenticar, mediante el puerto TCP 32764.
Según el análisis realizado a su propio router doméstico por el investigador Eloi Vanderbeken (@elvanderb), dicho modelo traería de serie una conexión remota no documentada a través del puerto 32764. Este puerto abierto, responde de manera genérica ante cualquier petición con la siguiente respuesta:
«ScMM\xFF\xFF\xFF\xFF\x00\x00\x00\x00«
…equivalente a un servicio de broadcast a la escucha (255.255.255.255 0.0.0.0 ). Este modelo de router, como muchos en el mercado está basado en Linux. Tras el análisis del firmware con herramientas forenses como ‘binwalk‘, pudo obtener el sistema de ficheros (squashfs) y acceder a los diferentes servicios de comunicación para así obtener la estructura del protocolo de comunicación utilizado y poder reproducirlo, mediante ingeniería inversa. También detectó diferentes vulnerabilidades en el firmware como desbordamientos de memoria basados en pila o escalada de directorios.
Según la prueba de concepto publicada, se conseguiría un acceso y control total del dispositivo (Shell) a través de este puerto sin ningún tipo de autenticación. Así mismo se podrían realizar denegaciones de servicio, pudiendo resetear la configuración de fábrica o la obtención de la configuración del sistema (Routercfg.cfg).
Mediante la colaboración de diferentes usuarios, se ha confirmado la existencia de este acceso no documentado en los siguientes modelos y firmas:
LINKSYS: WAG200G, WAG320N, WAG54G2, WAG120N, WAG160N
NETGEAR: DM111Pv2, DGN1000, DG834G, DGN3500, DGND3300
CISCO: WAP4410N
Y tras los diferentes modelos analizados, posiblemente esta «puerta trasera» esté relacionada con la firma SerComm, que elabora routers y módems para diferentes fabricantes como Linksys, por lo que la lista de afectados podría ser mayor:
Lista de routers basados en SerComm  http://bit.ly/1dWYqUH
Todo indica que una cuenta de administración, utilizada seguramente durante el proceso de desarrollo del firmware, no ha sido convenientemente deshabilitada tras el paso a producción de los routers, llegando activa a los usuarios.
Dependiendo de cada modelo, éste será accesible fuera de la red local o WLAN a través de Internet, por lo que se recomienda tomar las medidas oportunas para proteger el acceso, ya que según apunta ISC, los escaneos de puertos están en aumento durante estos días.
Más información:
Some codes and notes about the backdoor listening on TCP-32764 inlinksys WAG200G.
https://github.com/elvanderb/TCP-32764
TCP/32764 backdoor
https://github.com/elvanderb/TCP-32764/blob/master/backdoor_description_for_those_who_don-t_like_pptx.pdf
Scans Increase for New Linksys Backdoor (32764/TCP)
http://isc.sans.edu/diary/Scans+Increase+for+New+Linksys+Backdoor+(32764TCP)/17336
Backdoor found in Linksys, Netgear Routers
https://news.ycombinator.com/item?id=6997159
José Mesa Orihuela

jmesa@hispasec.com

Compártelo:

  • Twitter
  • Facebook
  • LinkedIn
  • Reddit
  • Telegram
  • WhatsApp

Publicaciones relacionadas

Archivado en: Vulnerabilidades Etiquetado con: Netgear

Interacciones con los lectores

Deja una respuesta Cancelar la respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Barra lateral principal

Buscador

Email Newsletter

Suscríbase y reciba Una al Día en su correo.

UADCAST

Populares de UAD

  • Multa de hasta 1 millón de dólares por una mala gestión de ransomware
  • Cómo limitar el acceso a nuestros recursos en AWS con nuevas claves condicionales
  • Se ha descubierto como ejecutar malware en iPhone incluso cuando esté apagado
  • Algunos de los 100.000 sitios web más populares recogen todo lo que escribes
  • Un banco español es condenado a pagar a una clienta víctima de phishing

Entradas recientes

  • Entrevista a Miroslav Stampar, creador de SQLMap
  • Cómo limitar el acceso a nuestros recursos en AWS con nuevas claves condicionales
  • Multa de hasta 1 millón de dólares por una mala gestión de ransomware
  • Se ha descubierto como ejecutar malware en iPhone incluso cuando esté apagado
  • SonicWall corrige varias vulnerabilidades que afectan a los dispositivos SMA de la serie 1000
  • Algunos de los 100.000 sitios web más populares recogen todo lo que escribes
  • Empleados de empresas de fusiones y adquisiciones, nuevo «target» de los Ciberdelincuentes.
  • Correo electrónico
  • Facebook
  • LinkedIn
  • RSS
  • Twitter

Footer

Una al Día

Una Al Día nació a raíz de un inocente comentario en un canal IRC hace casi 19 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

Entradas recientes

  • Entrevista a Miroslav Stampar, creador de SQLMap
  • Cómo limitar el acceso a nuestros recursos en AWS con nuevas claves condicionales
  • Multa de hasta 1 millón de dólares por una mala gestión de ransomware
  • Se ha descubierto como ejecutar malware en iPhone incluso cuando esté apagado
  • SonicWall corrige varias vulnerabilidades que afectan a los dispositivos SMA de la serie 1000

Etiquetas

0-day Android Apple Chrome Ciberataque cve D-Link Facebook Google iOS leak linux malware Microsoft Mozilla OpenSSL Oracle OS X Phishing PHP ransomware rce vulnerabilidad vulnerabilidades Windows WordPress

Copyright © 2022 · Hispasec