Una combinazione di cinque vulnerabilità nei router Netgear Nighthawk RAX30 consente agli aggressori di monitorare e manipolare il traffico Internet e assumere il controllo dei dispositivi intelligenti connessi.
I ricercatori di sicurezza di Team82, il dipartimento di ricerca dello specialista della sicurezza dei sistemi cyber-fisici (CPS) Claroty, hanno scoperto cinque vulnerabilità nel router Netgear Nighthawk RAX2 ampiamente utilizzato come parte della competizione Pwn30Own.
Vulnerability Set apre la porta
Lo sfruttamento riuscito di questo insieme di vulnerabilità consente agli aggressori di monitorare le attività Internet degli utenti, dirottare le connessioni Internet e reindirizzare il traffico a siti Web dannosi o iniettare malware nel traffico di rete. Inoltre, i criminali informatici possono accedere e controllare dispositivi intelligenti connessi come telecamere di sicurezza, termostati o lucchetti intelligenti, modificare le impostazioni del router incluse le credenziali di accesso o le impostazioni DNS o utilizzare una rete compromessa per lanciare attacchi su altri dispositivi o reti. Netgear ha ora corretto tutte le vulnerabilità e consiglia vivamente agli utenti di aggiornare i propri router RAX30.
Sono disponibili patch Netgear
🔎 Collegando i cinque CVE, i router Netgear RAX30 interessati possono essere compromessi (Immagine: Claroty).
I ricercatori di sicurezza di Team82 hanno scoperto una vulnerabilità di overflow del buffer basata su stack come parte della competizione degli hacker. Questi tipi di vulnerabilità sono generalmente facili da sfruttare in assenza di protezioni dello stack. Tuttavia, Netgear ha compilato tutti i file binari nel router RAX30 con stack canary, rendendo l'utilizzo molto più difficile. I canary dello stack sono un meccanismo di sicurezza ampiamente utilizzato che aiuta a proteggere dagli attacchi di overflow del buffer.
Questo inserisce un piccolo valore nello stack (il cosiddetto canary) che viene controllato per le modifiche prima che una funzione ritorni. Se il canary è stato manomesso, il programma termina per prevenire ulteriori attacchi. In linea di principio, questo meccanismo di protezione può essere aggirato in tre modi: identificando un'altra vulnerabilità che fa trapelare il canary, con la forza bruta (possibile solo in alcuni casi), e con un bypass "logico" che genera l'overflow, prima che il canary è controllato. Sebbene quest'ultima sia spesso descritta come un'elusione, in pratica ci sono solo pochi esempi in cui questa tecnica è stata utilizzata con successo.
Hai un momento?
Dedica qualche minuto al nostro sondaggio tra gli utenti del 2023 e contribuisci a migliorare B2B-CYBER-SECURITY.de!Devi solo rispondere a 10 domande e hai la possibilità immediata di vincere premi da Kaspersky, ESET e Bitdefender.
Qui vai direttamente al sondaggio
Team82 ha trovato una serie di cinque vulnerabilità che hanno aggirato logicamente lo stack canary, consentendo un attacco:
- 1. CVE-2023-27357 (Informazioni sensibili esposte senza autenticazione) viene utilizzato per determinare il numero di serie del dispositivo.
- 2. CVE-2023-27369 (SSL read stack overflow) consente agli aggressori di inviare un payload HTTP illimitato.
- 3. Utilizzare CVE-2023-27368 (sscanf stack overflow) per scrivere un payload sufficientemente lungo da sovrascrivere l'IP del socket, ignorare l'autenticazione e leggere la configurazione del dispositivo.
- 4. CVE-2023-27370 (Segreti in testo normale nella configurazione) viene utilizzato per ottenere le domande e le risposte di sicurezza in testo normale. La password dell'amministratore può essere modificata insieme al numero di serie (passaggio 1).
- 5. Dopo aver modificato la password, è possibile inviare un "pacchetto magico" per attivare un server telnet limitato sul dispositivo.
- 6. Infine, CVE-2023-27367 (Restricted shell escape) offre agli aggressori l'esecuzione di codice in modalità remota con accesso root sul dispositivo.
Collegando i cinque CVE, i router RAX30 interessati possono essere compromessi. La vulnerabilità più grave è l'esecuzione di codice in modalità remota prima dell'autenticazione sul dispositivo.
Maggiori informazioni su Sophos.com
A proposito di Claroty Claroty, la società di sicurezza informatica industriale, aiuta i suoi clienti globali a scoprire, proteggere e gestire le proprie risorse OT, IoT e IIoT. La piattaforma completa dell'azienda si integra perfettamente con l'infrastruttura e i processi esistenti dei clienti e offre un'ampia gamma di controlli di sicurezza informatica industriale per la trasparenza, il rilevamento delle minacce, la gestione dei rischi e delle vulnerabilità e l'accesso remoto sicuro, con un costo totale di proprietà notevolmente ridotto.