En diciembre de 2014, Allegro Software, un proveedor líder de software de componentes de Internet para dispositivos embebidos, instó a los fabricantes de productos embebidos con capacidad de red a mantener la última versión de software de componentes en sus productos. Un ejemplo destacado son las vulnerabilidades CVE-2014-9222 y CVE-2014-9223, también conocidas como Misfortune Cookie.
Detalles de las Vulnerabilidades
Estas vulnerabilidades fueron descubiertas en la versión 4.07 del servidor web embebido RomPager®, lanzado en 2002. Versiones de RomPager 4.07 y anteriores a 4.34 son potencialmente afectadas por múltiples problemas.
CVE-2014-9222: El problema "Misfortune Cookie"
La vulnerabilidad Misfortune Cookie se debe a un error dentro del mecanismo de gestión de cookies HTTP presente en el software afectado. Este error permite a un atacante determinar la "suerte" de una solicitud manipulando las cookies. Los atacantes pueden enviar cookies HTTP especialmente diseñadas que explotan la vulnerabilidad para corromper la memoria y alterar el estado de la aplicación y del sistema. Esto podría ser explotado para obtener privilegios administrativos para la sesión actual engañando al dispositivo atacado.
La vulnerabilidad "Misfortune Cookie" solo aplica si la función de cookies ha sido habilitada en el servidor RomPager. Los investigadores de Check Point asignaron a esta vulnerabilidad el identificador CVE-2014-9222.
CVE-2014-9223: Desbordamiento de búfer en Digest Authentication
Además, la versión 4.07 de RomPager® también incluía una vulnerabilidad de desbordamiento de búfer en la autenticación Digest. Esta vulnerabilidad existe porque el servidor web RomPager no realiza comprobaciones de límites adecuadas en la entrada proporcionada por el usuario. Los atacantes pueden explotar este problema para ejecutar código arbitrario con los privilegios de acceso de RomPager.
Los investigadores identificaron un par de vulnerabilidades de desbordamiento de búfer que se han asignado el identificador CVE-2014-9223.
RomPager: El Software Afectado
El software afectado es el servidor web embebido RomPager de AllegroSoft. RomPager es un servidor web embebido que se utiliza con mayor frecuencia para proporcionar capacidades de administración web para impresoras en red, conmutadores de red y otros dispositivos. Los escaneos a nivel de Internet sugieren que RomPager es probablemente el software de servidor web más popular del mundo en cuanto al número de puntos finales disponibles. RomPager se integra típicamente en el firmware que se lanza con el dispositivo.
Historial de versiones y parches de AllegroSoft
Allegro había identificado, corregido y lanzado previamente componentes de software actualizados que abordaban estas vulnerabilidades. En 2005, la versión 4.34 de RomPager®, que resolvió estas vulnerabilidades, fue proporcionada a los clientes de Allegro Software.
Sin embargo, desafortunadamente, no todos los fabricantes que utilizan productos de Allegro Software han actualizado sus dispositivos con el componente de software RomPager® más reciente. En algunos casos, los fabricantes continúan fabricando y vendiendo productos con componentes de software que tienen más de 13 años, lo que puede exponer los productos a problemas de seguridad.
El ciclo de propagación de los parches es increíblemente lento (a veces inexistente) con estos tipos de dispositivos. Se confirma que muchos dispositivos actuales aún se envían con la versión vulnerable instalada. AllegroSoft fue muy receptivo y consciente de la seguridad; la investigación se centró en una versión antigua de su software debido a su popularidad.
Alcance y Dispositivos Afectados
Investigadores del Grupo de Investigación de Malware y Vulnerabilidades de Check Point descubrieron esta vulnerabilidad crítica presente en millones de dispositivos de gateway residenciales (routers SOHO) de diferentes modelos y fabricantes. Hasta la fecha, los investigadores han detectado aproximadamente 12 millones de dispositivos únicos fácilmente explotables conectados a Internet en 189 países de todo el mundo, lo que la convierte en una de las vulnerabilidades más extendidas reveladas en los últimos años.
La investigación ha detectado al menos 200 modelos diferentes de dispositivos de varios fabricantes y marcas que actualmente exponen un servicio vulnerable en el espacio de direcciones IP públicas. La lista incluye modelos de D-Link, Edimax, Huawei, TP-Link, ZTE y ZyXEL, entre otros.
Implicaciones de la vulnerabilidad
Un tercero informó que el software del servidor web, AllegroSoft RomPager 4.34 y versiones anteriores, utilizado para configurar dispositivos a través del navegador web, puede permitir a un usuario malicioso obtener acceso a un dispositivo afectado y su configuración. La explotación de esta vulnerabilidad se ejecuta enviando una cookie de navegador web especialmente diseñada que desencadena la corrupción de la memoria y detiene el software en ejecución del dispositivo.
Si su dispositivo gateway es vulnerable, cualquier dispositivo conectado a su red (incluidos ordenadores, teléfonos, tabletas, impresoras, cámaras de seguridad, refrigeradores, tostadoras o cualquier otro dispositivo conectado en su red doméstica u oficina) puede tener un mayor riesgo de compromiso.
Un atacante con acceso administrativo a su gateway tiene un control alarmante sobre su infraestructura de red cableada y/o inalámbrica (red de área local, también conocida como LAN). Las implicaciones de estos riesgos significan más que una simple violación de la privacidad; también preparan el escenario para otros ataques, como la instalación de malware en dispositivos y la realización de cambios de configuración permanentes. Este cruce libre de WAN a LAN también evade cualquier funcionalidad de firewall o aislamiento previamente proporcionada por su gateway y rompe los modelos de amenaza comunes. Normalmente, no habría registros u otros rastros de explotación de Misfortune Cookie.
Recomendaciones y Soluciones
Allegro Software insta a los fabricantes de productos embebidos habilitados para la red a mantener la última versión del software de componentes en sus productos. Allegro Software no tiene la capacidad de actualizar o parchear los productos fabricados por sus clientes.
Medidas para usuarios finales y proveedores de servicios
- Actualizar firmware: La solución pasa por que el fabricante saque una versión de firmware no vulnerable. Los usuarios finales de gateways D-Link que recibieron el dispositivo de su operador, recibirán parches automáticamente de su operador. Para dispositivos que no pueden notificar al propietario sobre nuevas actualizaciones de software, se recomienda buscar actualizaciones del fabricante del dispositivo tan pronto como estén disponibles.
- Credenciales fuertes: Todos los dispositivos de su red deben tener credenciales de inicio de sesión.
- Cifrado Wi-Fi: Si su red tiene Wi-Fi, asegúrese de que las claves de cifrado Wi-Fi estén habilitadas. El cifrado Wi-Fi reduce el riesgo de esta vulnerabilidad si se accede a la interfaz web del dispositivo a través de Wi-Fi.
- Configuración de seguridad: La configuración predeterminada de los routers D-Link busca proporcionar una instalación sencilla, facilidad de uso y la más amplia interoperabilidad. D-Link recuerda a los clientes que configuren sus dispositivos específicamente para abordar las preocupaciones de seguridad dentro de su infraestructura de red.
- Revisar dispositivos: Revise sus routers domésticos para ver si se exponen los puertos 80, 443 o 7547 o posiblemente otros a Internet.
- Privacidad y protección: Asegúrese de que sus dispositivos y cualquier documento o carpeta que contenga información confidencial estén protegidos con contraseña.
- Firmware alternativo: Usuarios más técnicos pueden flashear firmware alternativo en su dispositivo, reemplazando el servicio vulnerable (tenga en cuenta que esto puede anular la garantía de su proveedor).
- IPS/Cortafuegos: Check Point IPS bloquea cualquier intento de explotar Misfortune Cookie si se implementa sobre el tráfico relevante en vivo.
- Contactar al proveedor: Si tiene un dispositivo vulnerable propiedad y gestionado por su proveedor de servicios, puede contactar a su soporte al cliente con la solicitud de una solución.
- Defensas en capas: Recuerde que la seguridad de su router es otra capa en las defensas de seguridad de su red; debe tener protecciones de punto final implementadas, incluidos firewalls, software antivirus y un sistema operativo recién actualizado.
Descubrimiento y Divulgación
Misfortune Cookie es única debido a una combinación de múltiples factores, incluyendo su gravedad, facilidad de explotación, la falta de casi cualquier precondición y el gran volumen de redes vulnerables. Todo lo que un atacante necesita para explotar Misfortune Cookie es enviar un solo paquete a su dirección IP pública.
Rol de Check Point y AllegroSoft
Investigadores de Check Point descubrieron esta vulnerabilidad mediante ingeniería inversa en el binario de firmware. El investigador Lior Oppenheim de Check Point descubrió independientemente esta vulnerabilidad entre varias otras. Más tarde se aclaró que la vulnerabilidad ya había sido conocida y corregida durante una revisión interna del código por AllegroSoft, pero sigue siendo un agujero grave en muchos dispositivos.
Check Point no comparte herramientas de explotación o código de explotación como política, ni proporciona instrucciones detalladas para crear uno. Sin embargo, se puede suponer que otros investigadores desarrollarán de forma independiente dicho código eventualmente.
Se contactó a AllegroSoft, así como a varios de los principales proveedores que se pudieron identificar con un número significativo de instancias de modelos vulnerables. La decisión de divulgar públicamente se basó en el balance entre la concienciación pública y los riesgos asociados, considerando que la educación pública era el factor decisivo más crítico debido al esperado y prolongado proceso de parcheo causado por la popularidad del software vulnerable y la diversidad de fabricantes y modelos.
La investigación comenzó con una encuesta de implementaciones TR-069 (CWMP), después de notar la extrema prevalencia de puntos finales escuchando en el puerto predeterminado de solicitud de conexión CWMP (7547), solo superado por los puntos finales HTTP (puerto 80). Aunque la proliferación de dispositivos gestionados por TR-069 es responsable de crear una población de clientes vulnerables muy grande, Misfortune Cookie no es una vulnerabilidad relacionada con TR-069/CWMP en sí.
tags: #vulnerabilidad #misfortune #cookie #en #rompager #de