-
09/04/2020
-
85
-
553 bài viết
Lỗ hổng trong thiết bị WiFi D-Link cho phép tấn công chèn lệnh
Bộ thiết bị mở rộng sóng WiFi 6 D-Link DAP-X1860 (hay bộ kích sóng) phổ biến đang tồn tại lỗ hổng cho phép tấn công DoS (từ chối dịch vụ) và chèn lệnh từ xa.
Đây là sản phẩm nằm trong danh sách được người dùng ưa chuộng, hiện có sẵn trên trang web của D-Link và sở hữu hàng nghìn lượt đánh giá trên Amazon.
Lỗ hổng đã được các nhà nghiên cứu phát hiện có mã định danh CVE-2023-45208. Dù họ đã cố gắng cảnh báo D-Link nhiều lần nhưng nhà cung cấp vẫn giữ im lặng và không đưa ra bất kỳ bản vá nào.
Về mặt kỹ thuật, sự cố bắt nguồn từ hàm 'parsing_xml_stasurvey' trong thư viện libcgifunc.so, trong đó chứa một lệnh hệ thống để thực thi.
Tuy nhiên, do sản phẩm thiếu tính năng dọn dẹp SSID, kẻ tấn công có thể dễ dàng lạm dụng tính năng này cho mục đích xấu.
Phản hồi của máy chủ web của bộ kích sóng
Cụ thể, kẻ tấn công trong phạm vi của thiết bị mở rộng sóng có thể thiết lập mạng WiFi và đặt tên giả mạo tương tự như tên mà nạn nhân thấy quen thuộc nhưng sẽ bao gồm dấu nháy trong tên, ví dụ như 'Mạng của Olaf'.
Khi thiết bị cố gắng kết nối với SSID đó, nó sẽ tạo ra "Lỗi 500: Lỗi máy chủ nội bộ" (Error 500: Internal Server Error) khiến thiết bị không thể hoạt động bình thường.
Nếu kẻ tấn công thêm phần thứ hai vào SSID chứa lệnh shell được phân tách bằng "&&" như "Test' && uname -a &&", thì thiết bị mở rộng sóng sẽ bị lừa thực thi lệnh 'uname -a' khi thiết lập hoặc quét mạng.
Tất cả các quy trình trên của thiết bị mở rộng sóng, bao gồm các lệnh được chèn bởi kẻ tấn công đều được thực thi với quyền root. Từ đó có khả năng cho phép kẻ tấn công thăm dò các thiết bị khác được kết nối với thiết bị mở rộng và tiếp tục xâm nhập sâu vào mạng.
Điều kiện cần để tấn công là có kết nối mạng với WiFi, nhưng điều này có thể thực hiện bằng một cuộc tấn công deauthentication (hủy bỏ xác thực) trên thiết bị đó.
Một số công cụ phần mềm sẵn có có thể tạo và gửi các gói xác thực đến thiết bị mở rộng, khiến nó ngắt kết nối khỏi mạng chính và buộc nạn nhân phải thực hiện quét mạng.
Do đó, người dùng DAP-X1860 được khuyến cáo hạn chế quét mạng thủ công, xem việc ngắt kết nối đột ngột là một dấu hiệu đáng ngờ và tắt thiết bị mở rộng sóng khi không sử dụng.
Ngoài ra, hãy cân nhắc việc đặt các thiết bị IoT và thiết bị mở rộng sóng trên một mạng riêng biệt, tách biệt với các thiết bị nhạy cảm chứa dữ liệu cá nhân hoặc liên quan đến công việc.
Đây là sản phẩm nằm trong danh sách được người dùng ưa chuộng, hiện có sẵn trên trang web của D-Link và sở hữu hàng nghìn lượt đánh giá trên Amazon.
Lỗ hổng đã được các nhà nghiên cứu phát hiện có mã định danh CVE-2023-45208. Dù họ đã cố gắng cảnh báo D-Link nhiều lần nhưng nhà cung cấp vẫn giữ im lặng và không đưa ra bất kỳ bản vá nào.
Chi tiết về lỗ hổng
Vấn đề nằm ở chức năng quét mạng của D-Link DAP-X1860 khi không thể phân tích đúng các SSID chứa một dấu nháy đơn (') trong tên và hiểu sai nó là một dấu kết thúc lệnh.Về mặt kỹ thuật, sự cố bắt nguồn từ hàm 'parsing_xml_stasurvey' trong thư viện libcgifunc.so, trong đó chứa một lệnh hệ thống để thực thi.
Tuy nhiên, do sản phẩm thiếu tính năng dọn dẹp SSID, kẻ tấn công có thể dễ dàng lạm dụng tính năng này cho mục đích xấu.
Phản hồi của máy chủ web của bộ kích sóng
Cụ thể, kẻ tấn công trong phạm vi của thiết bị mở rộng sóng có thể thiết lập mạng WiFi và đặt tên giả mạo tương tự như tên mà nạn nhân thấy quen thuộc nhưng sẽ bao gồm dấu nháy trong tên, ví dụ như 'Mạng của Olaf'.
Khi thiết bị cố gắng kết nối với SSID đó, nó sẽ tạo ra "Lỗi 500: Lỗi máy chủ nội bộ" (Error 500: Internal Server Error) khiến thiết bị không thể hoạt động bình thường.
Nếu kẻ tấn công thêm phần thứ hai vào SSID chứa lệnh shell được phân tách bằng "&&" như "Test' && uname -a &&", thì thiết bị mở rộng sóng sẽ bị lừa thực thi lệnh 'uname -a' khi thiết lập hoặc quét mạng.
Tất cả các quy trình trên của thiết bị mở rộng sóng, bao gồm các lệnh được chèn bởi kẻ tấn công đều được thực thi với quyền root. Từ đó có khả năng cho phép kẻ tấn công thăm dò các thiết bị khác được kết nối với thiết bị mở rộng và tiếp tục xâm nhập sâu vào mạng.
Điều kiện cần để tấn công là có kết nối mạng với WiFi, nhưng điều này có thể thực hiện bằng một cuộc tấn công deauthentication (hủy bỏ xác thực) trên thiết bị đó.
Một số công cụ phần mềm sẵn có có thể tạo và gửi các gói xác thực đến thiết bị mở rộng, khiến nó ngắt kết nối khỏi mạng chính và buộc nạn nhân phải thực hiện quét mạng.
Do đó, người dùng DAP-X1860 được khuyến cáo hạn chế quét mạng thủ công, xem việc ngắt kết nối đột ngột là một dấu hiệu đáng ngờ và tắt thiết bị mở rộng sóng khi không sử dụng.
Ngoài ra, hãy cân nhắc việc đặt các thiết bị IoT và thiết bị mở rộng sóng trên một mạng riêng biệt, tách biệt với các thiết bị nhạy cảm chứa dữ liệu cá nhân hoặc liên quan đến công việc.
Theo Bleeping Computer
Chỉnh sửa lần cuối: