Publicado:1º de agosto de 2022por Pieter Artz
Servidor web está presente no firmware Arris que pode ser encontrado em vários modelos de roteadores.
muhttpd (mu HTTP deamon) é um servidor web simples, mas completo, escrito em ANSI C portátil. Ele tem três objetivos principais: ser simples, ser portátil e ser seguro. A simplicidade era o principal objetivo do muhttpd, mas devido à sua simplicidade e amplo uso, também deve priorizar a segurança.
O equipamento nas instalações do cliente (CPE) do ISP geralmente usa esse servidor da Web, e os assinantes do ISP normalmente obtêm esses roteadores em empréstimo para telefonia e acesso à Internet.
Um ataque de passagem de caminho visa acessar arquivos e diretórios armazenados fora da pasta raiz da web. Esses ataques às vezes são chamados de ataques ponto-ponto-barra, pois manipulam variáveis que fazem referência a arquivos com sequências “ponto-ponto-barra (../)” e variações delas para acessar arquivos e diretórios arbitrários.
O servidor muhttpd 1.1.5 (última versão oficial 2010) tem uma vulnerabilidade de passagem de caminho. A versão mais recente do muhttpd é a versão 1.1.7 (lançada em 1º de junho de 2022). Infelizmente, o firmware Arris é baseado na versão vulnerável do muhttpd.
As falhas de segurança de computador divulgadas publicamente são listadas no banco de dados Common Vulnerabilities and Exposures (CVE). Seu objetivo é facilitar o compartilhamento de dados entre recursos de vulnerabilidade separados (ferramentas, bancos de dados e serviços). Derek Abdine encontrou várias vulnerabilidades, uma das quais é:
CVE-2022-31793 : Percurso de caminho da raiz do sistema de arquivos. A simples adição de um único caractere que não seja um ponto (“.”), barra (“/”) ou ponto de interrogação (“?”) antes do caminho solicitado é suficiente para obter qualquer arquivo regular no dispositivo. Essa vulnerabilidade permite que um invasor remoto não autenticado (nos casos em que a administração remota esteja habilitada) ou qualquer parte local (LAN) obtenha:
O pesquisador encontrou mais duas vulnerabilidades que não são tão fáceis de explorar:
Desreferência de ponteiro NULL : O servidor muhttpd recebe solicitações HTTP em um soquete sem bloqueio. Conexões de soquete são aceitas e alimentadas a um processo bifurcado para execução. Quando os dados são recebidos, o servidor lê em um loop até que uma sequência de dois caracteres de retorno de carro/nova linha seja recebida. O processamento é então transferido para outro método que tenta analisar o método de solicitação. Injetar um byte NULL no vapor de solicitação fará com que o processo de solicitação (fork do processo do servidor) seja segfault. Uma falha de segmentação (também conhecida como segfault) é uma condição comum que faz com que os programas travem.
Buffer over-read ao defanging URLs: O servidor muhttpd contém um buffer over-read ao lidar com valores codificados por porcentagem. Ao encontrar um percentual “%” na URL, o servidor tenta decodificar os próximos dois caracteres sem verificar os limites. Como resultado, se o URL consistir em “%” sem caracteres a seguir, a função decode_url lerá os dados do URL e as partes do buffer de solicitação que contém a string de versão do protocolo HTTP. Embora não seja explorável na prática, devem ser feitas salvaguardas para evitar o acesso ao espaço de endereço não intencional.
O servidor muhttpd afetado é usado em produtos de roteador Arris (NVG) baseados em fibra e DSL, bem como em produtos whitelabel/OEM de outros fornecedores. Os provedores de serviços de Internet (ISPs) em todo o mundo normalmente emprestam esses roteadores para seus milhões coletivos de assinantes. Em 2017, por exemplo, especialistas descobriram falhas facilmente exploráveis em modems Arris distribuídos pela AT&T .
Os modelos de roteador Arris que foram considerados vulneráveis são NVG443, NVG599, NVG589, NVG510, bem como variantes personalizadas para ISP, como BGW210 e BGW320. Observe que os roteadores Arris SBR-AC1900P 1.0.7-B05, SBR-AC3200P 1.0.7-B05 e SBR-AC1200P 1.0.5-B05 são vulneráveis a outra vulnerabilidade listada como CVE-2022-26992, que permite que invasores executem comandos por meio de uma solicitação criada.
Pesquisas na Internet revelaram 19.000 roteadores vulneráveis conectados diretamente à Internet. Os proprietários foram informados e a maioria dos dispositivos já foram corrigidos. Tanto o Arris quanto o muhttpd emitiram versões corrigidas, mas como o firmware é difundido e cada ISP gerencia suas próprias atualizações de firmware de forma independente, é provável que esse problema persista por anos.
No momento, não há relatos de que essas vulnerabilidades sejam usadas em estado selvagem, mas agora que as vulnerabilidades são conhecidas e o código de prova de conceito está disponível, pode ser apenas uma questão de tempo até que um ataque seja realizado.
Se o seu roteador usa uma versão vulnerável do muhttpd, é aconselhável desabilitar a administração remota, pois isso limita a exploração das vulnerabilidades aos ataques de LAN. Além disso, obtenha uma versão corrigida o mais rápido possível ou substitua o dispositivo.
Uma cidade na Carolina do Norte e um escritório de advogados distritais cobrindo quatro condados…
O surgimento da Nytheon AI marca uma escalada significativa no cenário das plataformas (LLM) de…
Um pesquisador de segurança revelou uma vulnerabilidade crítica de injeção de SOQL no controlador interno…
Falha permite que invasores manipulem o agente de um usuário por meio de um problema…
Um exploit de dia zero, dirigido aos firewalls FortiGate da Fortinet, foi descoberto à venda…
A família SHELBY mostra um exemplo preocupante de malware moderno com design modular, sofisticado e…