CVE-2018-10561
Dasan GPON Routers Authentication Bypass Vulnerability
Beschreibung
CVE-2018-10561 ist eine Authentifizierungsumgehungs-Schwachstelle in Dasan GPON-Heimroutern, die es entfernten Angreifern ermöglicht, den Login-Mechanismus durch Anhängen einer bestimmten Zeichenkette an URLs zu umgehen. Diese Schwachstelle wird typischerweise in Kombination mit CVE-2018-10562, einer Command-Injection-Schwachstelle, ausgenutzt, um nicht authentifizierte Remote Code Execution zu erreichen. Sie wurde in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was weit verbreitete aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 97,0 % (99,8. Perzentil) ist dies eine der am stärksten ausgenutzten Router-Schwachstellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dasannetworks | gpon router firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/107053(Broken Link, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/44576/(Exploit, Third Party Advisory, VDB Entry)
- https://www.vpnmentor.com/blog/critical-vulnerability-gpon-router/(Exploit, Technical Description, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-10561(US Government Resource)
Schwachstellentyp
CWE-287: Unzureichende Authentifizierung
Unzureichende Authentifizierung tritt auf, wenn eine Anwendung die Benutzeridentität nicht ordnungsgemäß überprüft, bevor sie Zugriff auf geschützte Ressourcen gewährt. Bei CVE-2018-10561 kann der Webserver des Dasan GPON-Routers durch Anhängen von ?images/ an die URL dazu gebracht werden, Authentifizierungsprüfungen zu umgehen, wodurch nicht authentifizierter Zugriff auf die gesamte Verwaltungsoberfläche gewährt wird. Weitere Details unter CWE-287.
Auswirkungsanalyse
Die Authentifizierungsumgehung gewährt jedem entfernten Angreifer vollen administrativen Zugriff auf die Verwaltungsoberfläche des GPON-Routers ohne Anmeldeinformationen. Dies allein ermöglicht die Änderung aller Router-Einstellungen, DNS-Konfiguration, WLAN-Zugangsdaten und Netzwerkkonfigurationen. In Kombination mit CVE-2018-10562 (Command Injection) bietet das Paar vollständige nicht authentifizierte Remote Code Execution auf dem Router. Die breite Bereitstellung von GPON-Routern durch ISPs weltweit bedeutet, dass Millionen von Geräten potenziell exponiert waren, was eine massive Angriffsfläche für Botnet-Rekrutierung, Verkehrsabfangen und Angriffe auf Netzwerkebene gegen alle verbundenen Geräte schafft.
Exploit-Reifegrad
CVE-2018-10561 wurde am 31. März 2022 in den CISA-KEV-Katalog aufgenommen. Der EPSS-Score von 97,0 % (99,8. Perzentil) bestätigt extrem weit verbreitete Ausnutzung. Die Authentifizierungsumgehung ist trivial einfach und erfordert nur das Hinzufügen von ?images/ zu jeder URL der Router-Weboberfläche. Diese Einfachheit hat zu ihrer Integration in praktisch jedes IoT-Botnet geführt, das GPON-Router angreift. Massen-Scanning und -Ausnutzung erfolgen kontinuierlich im Internet-Maßstab, wobei täglich Millionen von Ausnutzungsversuchen aufgezeichnet werden.
Behebung
- Ersetzen Sie betroffene Dasan GPON-Router durch aktuelle, unterstützte Geräte von renommierten Herstellern, die regelmäßige Sicherheitsupdates erhalten.
- Falls ein sofortiger Austausch nicht möglich ist, stellen Sie sicher, dass die Web-Management-Oberfläche des Routers nicht aus dem Internet erreichbar ist, indem Sie die Remote-Verwaltung deaktivieren.
- Fordern Sie einen Geräteaustausch oder ein Firmware-Update von Ihrem Internetanbieter an, wenn der Router vom ISP bereitgestelltes Equipment war.
- Setzen Sie eine sekundäre Firewall oder ein Security Gateway vor dem GPON-Router ein, um bösartigen Verkehr zu filtern.
- Überwachen Sie regelmäßig verbundene Geräte auf ungewöhnliches Verhalten, das auf eine Kompromittierung des Routers hindeuten könnte.
Technische Details
Die Authentifizierungsumgehung in Dasan GPON-Routern nutzt einen Fehler in der URL-Routing- und Authentifizierungslogik des Webservers aus. Der Webserver des Routers verwendet eine einfache URL-basierte Regel, um festzustellen, welche Anfragen eine Authentifizierung erfordern. Durch Anhängen der Zeichenkette ?images/ an jede URL wird die Authentifizierungsprüfung umgangen, da der Server die Anfrage als Zugriff auf ein statisches Ressourcenverzeichnis interpretiert, das keine Authentifizierung erfordert. Das bedeutet, dass jede geschützte Seite, einschließlich der administrativen Konfigurationsoberfläche, ohne Angabe gültiger Anmeldeinformationen zugänglich ist, indem einfach ?images/ an die URL angehängt wird. Der Fehler demonstriert eine fundamentale architektonische Schwäche im Authentifizierungsdesign des Router-Webservers.
Häufig gestellte Fragen
Was ist CVE-2018-10561?
CVE-2018-10561 ist eine Authentifizierungsumgehungs-Schwachstelle in Dasan GPON-Routern. Durch Anhängen von ?images/ an jede URL der Router-Weboberfläche kann ein Angreifer den Authentifizierungsmechanismus umgehen und auf die Verwaltungsoberfläche ohne Anmeldeinformationen zugreifen.
Wie steht dies in Zusammenhang mit CVE-2018-10562?
CVE-2018-10561 (Authentifizierungsumgehung) und CVE-2018-10562 (Command Injection) sind Begleit-Schwachstellen, die fast immer zusammen ausgenutzt werden. Die Authentifizierungsumgehung bietet Zugang ohne Anmeldeinformationen, und die Command Injection ermöglicht die Ausführung beliebiger Befehle. Zusammen ermöglichen sie nicht authentifizierte Remote Code Execution.
Wie viele Geräte sind betroffen?
Millionen von Dasan GPON-Routern wurden weltweit von verschiedenen Internetanbietern eingesetzt. Die genaue Anzahl verwundbarer Geräte ist schwer zu bestimmen, aber internetweite Scans haben konsistent Hunderttausende exponierter Geräte identifiziert.
Ist mein Heimnetzwerk gefährdet?
Wenn Ihr Internet-Router ein Dasan/Zhone GPON-Gerät ist, ist er wahrscheinlich verwundbar. Überprüfen Sie die Modellinformationen Ihres Routers und kontaktieren Sie Ihren ISP für einen Austausch oder ein Update. Selbst wenn Ihr Router nicht direkt dem Internet ausgesetzt ist (was bei ISP-bereitgestellten Routern typischerweise der Fall ist), sollte die Schwachstelle behoben werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.