Το Malwarebytes προειδοποιεί για μια ευπάθεια απομακρυσμένης εκτέλεσης κώδικα που επηρεάζει αρκετούς δρομολογητές Arris, για τους οποίους έχει κυκλοφορήσει κώδικας εκμετάλλευσης απόδειξης της ιδέας (PoC).
Με το κωδικό CVE-2022-45701, το σφάλμα υπάρχει επειδή το υλικολογισμικό του δρομολογητή δεν εξουδετερώνει σωστά τους ειδικούς χαρακτήρες σε αιτήματα, γεγονός που επέτρεψε στον ερευνητή ασφάλειας Yerodin Richards να εκτελέσει εντολών σεναρίου κελύφους.
Τα επηρεασμένα μοντέλα έχουν φτάσει στο τέλος του κύκλου ζωής τους (EOL) και δεν υποστηρίζονται πλέον από την CommScope (την εταιρεία που απέκτησε την Arris), πράγμα που σημαίνει ότι είναι απίθανο να λάβουν ενημερώσεις κώδικα.
Το ελάττωμα ασφαλείας επηρεάζει τους δρομολογητές G2482A, TG2492 και SBG10 που εκτελούν την έκδοση υλικολογισμικού 9.1.103, οι οποίοι βρίσκονται συνήθως στην περιοχή της Λατινικής Αμερικής και της Καραϊβικής.
Αν και απαιτούνται διαπιστευτήρια σύνδεσης για την εκμετάλλευση της ευπάθειας, οι χρήστες συχνά αφήνουν προεπιλεγμένα ονόματα χρήστη και κωδικούς πρόσβασης στις συσκευές τους, είτε επειδή η διαδικασία αλλαγής ή κατάργησής τους είναι πολύ περίπλοκη είτε επειδή δεν τους ζητείται ρητά να τα τροποποιήσουν κατά τη διαδικασία εγκατάστασης.
Όχι μόνο αυτοί οι δρομολογητές είναι επιρρεπείς σε επιθέσεις που βασίζονται σε προεπιλεγμένα διαπιστευτήρια ωμής επιβολής, αλλά, επειδή δεν προστατεύουν τα διαπιστευτήρια κατά τη μεταφορά χρησιμοποιώντας HTTPS, είναι επίσης επιρρεπείς στην έκθεσή τους σε εισβολείς που μπορούν να υποκλέψουν την κυκλοφορία.
Για τον μετριασμό των κινδύνων, συνιστάται στους χρήστες να ασφαλίζουν τις συσκευές τους με ισχυρούς κωδικούς πρόσβασης, αν και ένας έμπειρος εισβολέας που μπορεί να κρυφακούει την απροστάτευτη κυκλοφορία θα μπορούσε να υποκλέψει τον κωδικό πρόσβασης.
Η αλλαγή του υλικολογισμικού του δρομολογητή θα ήταν καλύτερη λύση, αλλά «οι πάροχοι είναι χαλαροί όσον αφορά την προώθηση ενημερώσεων και δεν υπάρχει εύκολος τρόπος για έναν τελικό χρήστη να το κάνει μόνος του», λέει ο Richards.
Σύμφωνα με τον ερευνητή ασφαλείας, οι χρήστες «θα μπορούσαν να εκτελέσουν το exploit για να αποκτήσουν ένα root shell και να προσπαθήσουν να το επιδιορθώσουν από εκεί, αλλά αυτό δεν είναι σε καμία περίπτωση μια απλή λύση».
