Se
han reportado dos vulnerabilidades
en routers Tenda, descubiertas por Yuan Ming investigador del laboratorio de
ciberseguridad de la universidad de Beihang. Las vulnerabilidades son consideradas de gravedad media-alta y
podrían permitir a un atacante provocar condiciones
de denegación de servicio y saltar restricciones de seguridad.
Tenda es un fabricante muy
reconocido de dispositivos de red y equipos de banda ancha. Sus productos van
desde redes domésticas, a redes profesionales, switches, CPEs de banda ancha,
gateways, banda ancha móvil, powerlines, cámaras IP etc. Tienen una amplia
experiencia en el sector industrial y doméstico.
En el primer problema, con
CVE-2017-9138, en el que un atacante local podría saltar restricciones de
seguridad a través de comandos Shell especialmente manipulados. Este problema
se debe a una vulnerabilidad en un servicio UDP específico que permitiría a
determinadas URLs ejecutar determinados comandos Shell.
El segundo problema con CVE-2017-9139,
en el que un atacante local o remoto podría provocar una denegación de servicio
(interrupción del servicio HTTP) a través de peticiones POST especialmente
manipuladas a URLs no especificadas. Este error se debe a una vulnerabilidad
que podría causar un desbordamiento de memoria intermedia basada en pila.
Estos problemas afectan a routers
802.11ac (modelos FH1202/F1202/F1200, con firmware anterior al 1.2.0.20).
Se recomienda actualizar a
versiones superiores.
Más información:
Tenda
Overview
Juan Sánchez
