Netgear hat Lösungen zur Behebung von Sicherheitslücken in zwei seiner Router veröffentlicht, die von einem Angreifer ausgenutzt werden können, um aus der Ferne die vollständige Kontrolle über die Geräte zu übernehmen. Die beiden Geräte, die Patches erhalten haben, sind R6400v2 und R6700v3. Allerdings sind 77 der anderen Router von Netgear weiterhin anfällig für eine Zero-Day-Sicherheitslücke, die dem Unternehmen im Januar dieses Jahres gemeldet wurde. Die Schwachstelle, die im HTTPD-Daemon liegt, der zur Verwaltung der Router verwendet wird, wurde unabhängig von Adam Nichols von Grimm und d4rkn3ss vom vietnamesischen VNPT ISC über die Zero Day Initiative (ZDI) entdeckt. ZDI hat einen Bericht veröffentlicht, der Informationen über die Sicherheitslücke enthält, während Nichols einen langen Blogbeitrag verfasst hat, in dem er detailliert einen Proof-of-Concept (PoC)-Exploit und sogar Skripte zum Auffinden anfälliger Router im Internet beschreibt.
Zero-Day-Schwachstelle
Laut Schwachstellenberichten verfügen betroffene Router-Modelle über einen HTTPD-Daemon, der die Länge der von einem Benutzer bereitgestellten Daten nicht korrekt prüft, was es einem Angreifer ermöglicht, einen Pufferüberlauf zu erzeugen, wenn Daten in eine Variable mit fester Länge kopiert werden. Um die Schwachstelle in Netgear-Routern auszunutzen, muss ein Angreifer eine speziell gestaltete Kette erstellen, die in der Lage ist, Befehle auf dem Gerät auszuführen, ohne sich vorher authentifizieren zu müssen. In seinem Blogbeitrag erklärte Nichols, dass Stack-Cookies diese Schwachstelle zwar typischerweise abschwächen können, viele Netgear-Router sie jedoch nicht nutzen, und erklärte: „In der meisten modernen Software wäre diese Schwachstelle unbrauchbar.“ Moderne Software enthält meist Stack-Cookies, die eine Ausnutzung verhindern würden. Der R7000 verwendet jedoch keine Stack-Cookies. Tatsächlich verwenden von allen Netgear-Produkten, die eine gemeinsame Codebasis haben, nur die D1.0.3.29-Firmwareversion 8500 und die R1.0.4.12v1.0.4.20-Firmwareversionen 6300–2 Stack-Cookies. Spätere Versionen von D8500 und R6300v2 verwendeten jedoch keine Stack-Cookies mehr, wodurch diese Schwachstelle wieder ausgenutzt werden konnte. Standardmäßig kann auf den HTTPD-Daemon für diese Router nur über das LAN zugegriffen werden. Router-Administratoren können ihn jedoch aktivieren, sodass der Remote-Zugriff über das Internet möglich ist. Allerdings können Angreifer immer noch Websites mit schädlichen Inhalten erstellen, indem sie JavaScript verwenden, um eine DNS-Bindung durchzuführen Angriffe, die es ihnen ermöglichen würden, Befehle aus der Ferne auf Routern auszuführen, die nicht über das Internet erreichbar sind. Wenn Sie den R6400v2- oder R6700v3-Router von Netgear besitzen, können Sie jetzt Patches für die Schwachstelle herunterladen, aber wenn Sie einen der anderen 77 betroffenen Router haben, können Sie Wir haben kein Glück, bis das Unternehmen Korrekturen für sie veröffentlicht. Via BleepingComputer