Elevación de privilegios y otras vulnerabilidades en TP-Link EAP Controller

Se han hecho públicos varios fallos de seguridad que afectan a EAP Controller y que podrían permitir elevar privilegios, descargar, modificar y restaurar una copia de seguridad, y realizar ataques Cross-Site Request Forgery (CSRF) y Cross Site Scripting (XSS).

EAP Controller es un software de gestión para dispositivos TP-Link EAP que permite la administración y supervisión de forma centralizada utilizando un navegador web. En las nuevas versiones, TP-Link ha cambiado el nombre de este software a Omada Controller.

Las vulnerabilidades, descubiertas por Julián Muñoz de Core Security Exploits QA, son las siguientes:

* CVE-2018-10168: la falta de control de privilegios en el uso de la API web permitiría a un usuario limitado realizar cualquier solicitud como administrador.

Se propone la siguiente prueba de concepto para crear un nuevo usuario administrador simplemente con la 'cookie' de sesión de un usuario de tipo 'observador' (el usuario de privilegios más bajos en este software):

PoC para CVE-2018-10168

El parámetro 'roleId' utilizado en el script puede ser recuperado del fichero de backup utilizando la siguiente vulnerabilidad.

* CVE-2018-10167: la clave utilizada para encriptar el fichero de respaldo de la aplicación web se encuentra incrustada en el software, lo cual podría comprometer su confidencialidad e integridad.

La PoC siguiente muestra como un usuario sin privilegios puede obtener, desencriptar, modificar y restaurar una copia de seguridad de la aplicación:

PoC para CVE-2018-10167

 
* CVE-2018-10166: falta de protección ante falsificación de solicitudes entre sitios. Al no haber tokens 'anti-CSRF' en los formularios de la interfaz web, un atacante podría enviar solicitudes autenticadas engañando o convenciendo a un usuario con sesión activa para que visite una página web especialmente manipulada desde la que se realizará la petición HTTP no autorizada y sin conocimiento del usuario legítimo.

Por ejemplo, se podría enviar una petición para crear un usuario administrador, como demuestra la PoC:

PoC para CVE-2018-10166

 
* CVE-2018-10165: el parámetro 'userName' en '/hotspot/localUser/saveUser' es vulnerable a un XSS persistente.

PoC para CVE-2018-10165

* CVE-2018-10164: la implementación de 'portalPictureUpload' es vulnerable a un XSS persistente.

Como prueba de concepto se aprovecha información obtenida del fichero de backup –gracias a la vulnerabilidad CVE-2018-10167– que muestra que la imagen de fondo del portal se carga en base64 y se almacena en la base de datos. De esta forma, basta con modificar el valor de 'fileData' con el código a ejecutar (en este caso "<script>alert(1)</script>" codificado en base64) y restaurar la copia de respaldo para obtener un XSS persistente.

Extracto del fichero de backup

Para ejecutar el código es necesario visitar la página https://<EAP_CONTROLER_IP>:8043/globalsetting/portalPictureLoad?fileId=<FILE_ID>


Las versiones TP-Link EAP Controller V2.5.4s y TP-Link Omada Controller V2.6.0 son vulnerables. 

TP-Link ha liberado una nueva versión de Omada Controller V2.6.1 (Omada Controller es el nuevo nombre para las últimas versiones) que corrige los anteriores fallos de seguridad.

Juan José Ruiz
jruiz@hispasec.com

Más información:

TP-Link EAP Controller Multiple Vulnerabilities:

https://www.coresecurity.com/advisories/tp-link-eap-controller-multiple-vulnerabilities

Download for EAP Controller:

https://www.tp-link.com/en/download/EAP-Controller.html#Controller_Software

Publicado un exploit que podría causar una denegación de servicio en el repetidor WiFi TP-Link TL-WA850RE

Una vulnerabilidad en el modelo de repetidor WiFi TP-Link TL-WA850RE podría permitir a un atacante remoto llevar a cabo un reinicio del mismo a través de una petición especialmente manipulada.

La vulnerabilidad se debe a un error de falta de autenticación en la llamada al fichero ‘data/reboot.json’. Una simple petición especialmente manipulada a este fichero, provocaría que se reiniciara el sistema, lo que podría suponer una denegación de servicio mediante el envío de esta petición al repetidor de forma continuada.

A través de shodan se encuentran un total de 1.838 IPs públicas que acceden directamente a este amplificador WiFi vulnerable. Cabe citar que no es común disponer de este tipo de dispositivos conectados directamente a una IP pública, por lo que el alcance de esta vulnerabilidad debe de ser bastante más elevado en redes internas.

La vulnerabilidad, que aún no dispone de CVE, ha sido publicada como '0-day' y se desconoce la respuesta del fabricante. Habrá que esperar a que TP-LINK publique una actualización de su firmware para corregir el fallo.

Más información:

Exploit-db:

https://www.exploit-db.com/exploits/44550/

Vulnerabilidades en routers WiFi TP-Link WR940N

Recientemente el investigador Tim Carrington (@__invictus_) ha descubierto dos vulnerabilidades (una de denegación de servicio y otra de ejecución de código remoto) en routers TP-Link WR940N. 

Para explotar estas vulnerabilidades se necesita conocer las credenciales de administración del dispositivo.

La vulnerabilidad de denegación de servicio se explota a través de un campo que se encuentra en el panel de administración, en concreto en la herramienta de diagnóstico.

Campo 'pingAddr' vulnerable. Imagen: https://www.fidusinfosec.com

Si pasamos una cadena superior a 50 caracteres al campo 'pingAddr' desencadenamos la denegación del servicio y el reinicio del dispositivo.

Función vulnerable. Imagen: https://www.fidusinfosec.com

En cuanto a la vulnerabilidad de desbordamiento de buffer, los valores de la llamada a 'httpGetEnv' (parámetros 'ping_addr', 'isNew') son valores pasados por peticiones 'GET', que son pasados a su vez a la función 'ipAddrDispose'.

Al comienzo de la ejecución de la función se declara una variable que luego es pasada como argumento a la función 'strcpy' sin realizar validación alguna sobre la longitud del argumento introducido, dando como resultado un desbordamiento de buffer. A partir de esta vulnerabilidad podemos ejecutar código remoto con el exploit adecuado.

Estas vulnerabilidades se consideran criticas ya que a parte de producir la detención del servicio, también se puede ejecutar código remotamente. TP-Link ya ha desarrollado un parche para estas vulnerabilidades, alq ue como siempre se recomienda actualizar. Adicionalmente, se encuentra disponible el exploit para esta vulnerabilidad, que se puede encontrar en este enlace.

Mario Parra
@MPAlonso_

Más información

A curious tale of remote code execution. The TP-Link story - CVE-2017-13772
https://www.fidusinfosec.com/tp-link-remote-code-execution-cve-2017-13772/

CERTSI
https://www.certsi.es/alerta-temprana/vulnerabilidades/cve-2017-13772

SecList
http://seclists.org/fulldisclosure/2017/Oct/49

Exploit
https://www.exploit-db.com/exploits/43022/

Múltiples vulnerabilidades en diferentes cámaras IP (TP-Link, MayGion y Zavio)

Nahuel Riva y Francisco Falcon de Core Exploit han descubierto y publicado múltiples vulnerabilidades en cámaras IP de los fabricantes TP-Link, MayGion y Zavio. También han desarrollado diversas pruebas de concepto para demostrar estos fallos de seguridad.

Las vulnerabilidades que afectan a las cámaras IP TP-Link son:

• CVE-2013-2572: un atacante remoto podría utilizar los credenciales fijados en el fichero de configuración 'boa.conf' para acceder a la interfaz web de administración.
      
• CVE-2013-2573: un error de falta de filtrado de parámetros de entrada en '/cgi-bin/mft/wireless_mft.cgi' podría permitir la inyección de comandos de forma remota.

Como prueba de concepto, se inyecta un comando en la siguiente URL para alojar una copia del fichero que almacena los credenciales de los usuarios en el directorio raíz del servidor web, aprovechando la vulnerabilidad CVE-2013-2573:

http://DIRECCIÓN_IP/cgi-bin/mft/wireless_mft?ap=travesti;cp%20/var/www/secret.passwd%20/web/html/credenciales

TP-Link TL-SC 3130G

quedando accesible desde la URL: http://DIRECCIÓN_IP/credenciales

Se ven afectados los dispositivos con firmware v1.6.18P12, y se han comprobado los modelos:

• TL-SC 3130 (solo la vulnerabilidad CVE-2013-2572 afecta a este dispositivo)
• TL-SC 3130G
• TL-SC 3171G
• TL-SC 4171G

TP-Link ha publicado una actualización de firmware que corrige los errores en su página web.

Por su parte las cámaras IP del fabricante MayGion presentan otras dos vulnerabilidades:

• CVE-2013-1604: un atacante remoto no autenticado podría aprovechar un problema de ruta transversal para realizar un volcado de la memoria del dispositivo y obtener credenciales válidas de usuario.
      
• CVE-2013-1605: un fallo de desbordamiento de memoria podría permitir la ejecución de código arbitrario de forma remota.

Los investigadores han publicado dos sencillas PoC escritas en python para probar estos dos fallos:

• Para obtener un volcado de la memoria del dispositivo (CVE-2013-1604).

       import httplib

       conn = httplib.HTTPConnection("DIRECCIÓN_IP")
       conn.request("GET", "/../../../../../../../../../proc/kcore")

       resp = conn.getresponse()

       data = resp.read()

       conn.close()

• Para causar un desbordamiento de memoria y conseguir que el registro 'Instruction Pointer' sea sobrescrito con el valor 0x61616161 (CVE-2013-1605).

       import httplib

       conn = httplib.HTTPConnection("DIRECCIÓN_IP")

       conn.request("GET", "/" + "A" * 3000 + ".html")

       resp = conn.getresponse()

       data = resp.read()

       conn.close()

Las vulnerabilidades han sido comprobadas en dispositivos con firmware v09.27 ó 2011.27.09, aunque otras versiones también podrían verse afectadas.

La respuesta del fabricante es que las vulnerabilidades han sido corregidas en el firmware 2013.22.04.

Zavio F3105

Por último, los dispositivos del fabricante Zavio basados en el firmware v1.6.03 se ven afectados por las cuatro vulnerabilidades siguientes:

• CVE-2013-2567: un atacante remoto podría utilizar los credenciales fijados en el fichero de configuración 'boa.conf' para acceder a la interfaz web de administración.
      
• CVE-2013-2568: un error de falta de comprobación de parámetros de entrada en '/cgi-bin/mft/wireless_mft.cgi' podría permitir la inyección de comandos de forma remota.
      
• CVE-2013-2569: un atacante remoto no autenticado podía tener acceso al vídeo en tiempo real.
      
• CVE-2013-2570: una inyección de comandos en la función 'sub_C8C8' localizada en /opt/cgi/view/param.

La PoC de los dispositivos TP-Link es aplicable a la vulnerabilidad CVE-2013-2568.

Además, con la siguiente URL un atacante remoto no autenticado podía tener acceso al flujo de vídeo en directo (CVE-2013-2569):

rtsp://DIRECCIÓN_IP/video.h264

La última PoC es una inyección de comandos (CVE-2013-2570) a través del parámetro General.Time.NTP.Server que permite obtener una lista completa de puntos de acceso ejecutando el comando '/sbin/awpriv ra0 get_site_survey':

http://DIRECCIÓN_IP/cgi-bin/admin/param?action=update&General.Time.DateFormat=ymd&General.Time.SyncSource=NTP&General.Time.TimeZone=GMT-06:00/America/Mexico_City&General.Time.NTP.ServerAuto=no&General.Time.NTP.Server=sarasa!de!palermo;/sbin/awpriv%20ra0%20get_site_survey;&General.Time.NTP.Update=01:00:00&General.Time.DayLightSaving.Enabled=on&General.Time.DayLightSaving.Start.Type=date&General.Time.DayLightSaving.Stop.Type=date&General.Time.DayLightSaving.Start.Month=01&General.Time.DayLightSaving.Stop.Month=01&General.Time.DayLightSaving.Start.Week=1&General.Time.DayLightSaving.Stop.Week=1&General.Time.DayLightSaving.Start.Day=01&General.Time.DayLightSaving.Stop.Day=01&General.Time.DayLightSaving.Start.Date=01&General.Time.DayLightSaving.Stop.Date=01&General.Time.DayLightSaving.Start.Hour=00&General.Time.DayLightSaving.Stop.Hour=00&General.Time.DayLightSaving.Start.Min=00&General.Time.DayLightSaving.Stop.Min=00&Image.OSD.Enabled=off

El fabricante Zavio no se ha pronunciado al respecto de las vulnerabilidades que afectan a sus dispositivos.

Más información:

TP-Link IP Cameras Multiple Vulnerabilities

http://www.coresecurity.com/advisories/tp-link-IP-cameras-multiple-vulnerabilities

MayGion IP Cameras multiple vulnerabilities

http://www.coresecurity.com/advisories/maygion-IP-cameras-multiple-vulnerabilities

Zavio IP Cameras multiple vulnerabilities

http://www.coresecurity.com/advisories/zavio-IP-cameras-multiple-vulnerabilities

  

Juan José Ruiz

jruiz@hispasec.com

Ejecución remota de código en diversos routers TP-Link

Desde el blog Sekurak.pl, el investigador Michal Sajdak alerta de la posibilidad de ejecutar código de manera remota en diversos modelos de router de la firma TP-Link. Existe una puerta trasera accesible mediante el servicio TFTP hasta ahora no documentada. Afecta por el momento los modelos TL-WDR4300, TL-WR743ND y TL-WR740N.

TL-WDR4300

La vulnerabilidad se debería a una funcionalidad presente en el firmware del router que contacta de manera remota con un servidor TFTP cuando se realiza una determinada petición de recurso.

Según la investigación llevada a cabo, si se realiza una petición http GET a la URL:

http:// IP del router /userRpmNatDebugRpm26525557/start_art.html

...automáticamente el router realiza una conexión a la IP de origen de la petición buscando un servidor TFTP del que descarga un fichero de configuración con nombre "nart.out". Este será ejecutado con permisos de usuario root en el propio router.

Aparte de no estar documentada, supone un grave fallo en las políticas de seguridad del router, que permite la ejecución de código remoto mediante servidores TFTP fraudulentos. Un atacante podría crear un fichero nart.out especialmente manipulado, subirlo a un servidor TFTP y realizar la petición HTTP al router.

Esta vulnerabilidad en principio sólo es accesible desde red local a menos que se tuviera activada la gestión remota desde el exterior (HTTP-admin via WAN).

Este tipo de servicios de actualización parecen habituales en otros fabricantes. Según la documentación de la firma Atheros (chipset presente en estos modelos de router) se ofrecen ese tipo de servicios destinados a la actualización de las placas utilizando servidores TFTP para el proceso. Por ejemplo, en uno de los documentos filtrados (disponible en algunos servidores no oficiales) se puede leer:

-------

Chapter 6 Load the ART Image

This procedure is used to load the ART image in the DB120 board. Due to

limited flash memory space on the DB120, it is recommended to load the

ART image in the RAM. It is assumed that the files art.ko and nart.out

are located on a suitable TFTP server, and the IP address of the TFTP

server is 192.168.1.100.

1. Apply power to the board.

2. Wait until Kernel is loaded and executed.

3. Log in using the root username and 5up password.

4. Type these commands:

# mknod /dev/dk0 c 63 0 # cd /tmp # tftp -r art.ko -g 192.168.1.100 #

insmod art.ko # tftp -r nart.out -g 192.168.1.100 # chmod +x nart.out #

./nart.out –console

The ART client is now running and waiting for connection from host.

------

Los usuarios pueden comprobar si este servicio está presente, realizando una consulta a la URL comentada y confirmando que en el navegador aparezca el mensaje "Art successfully started":

TP-Link está avisado de la vulnerabilidad pero todavía no hay actualizaciones oficiales disponibles. Como alternativa es posible instalar firmwares libres como OpenWRT:

http://wiki.openwrt.org/toh/start#tp-link3

Usuarios de diversos foros han advertido que esta funcionalidad y posiblemente la vulnerabilidad también está presente en los modelos:

WR743ND,WR842ND, WA-901ND, WR941N, WR941ND, WR1043ND, WR2543ND, MR3220, MR3020, WR841N

Más información:

TP-Link http/tftp backdoor

http://sekurak.pl/tp-link-httptftp-backdoor/

http://sekurak.pl/nowy-backdoor-na-urzadzeniach-tp-link/

More information about TP-Link backdoor

http://sekurak.pl/more-information-about-tp-link-backdoor/

José Mesa Orihuela

jmesa@hispasec.com

Vulnerabilidad en Wi-Fi Protected Setup compromete el PIN

Se ha descubierto una vulnerabilidad en el estándar WPS (Wi-Fi Protected Setup) que podría comprometer la robustez del PIN.

Wi-Fi Protected Setup, o WPS por sus siglas, es un estándar incluido en muchos routers y dispositivos wifi que facilita a los usuarios la creación de redes inalámbricas seguras. Dicho estándar dispone de varios métodos para agregar dispositivos a una red:

• a través de un número PIN de 8 dígitos
• pulsando un botón de configuración (PBC o Push Button Configuration)
• mediante NFC (Near-Field Communication) acercando los dispositivos al punto de acceso o router
• utilizando una llave USB que almacena los datos de la configuración

El estándar WPS lo implementan productos de fabricantes como Cisco, Technicolor, TP-Link, ZyXEL, D-Link, Netgear, Linksys, y Buffalo, entre otros muchos.

La vulnerabilidad en WPS, descubierta por Stefan Viehbock, se debe a un exceso de información en la respuesta EAP-NACK (Extensible Authentication Protocol-Negative Acknowledgement) que el sistema envía cuando la autenticación falla. Esto podría permitir a un atacante remoto determinar si la primera mitad del PIN es correcta o no, disminuyendo la robustez del mismo e incrementado las posibilidades de éxito de un ataque por fuerza bruta.

Mediante esta vulnerabilidad, el problema de descubrir una clave de 8 dígitos se reduce a descubrir dos claves de 4 y 3 cifras (ya que la octava es un dígito de control o "checksum"). Dicho de otra manera, el número de intentos necesarios para descubrir el PIN se vería reducido de 10⁸ (100.000.000) a 10⁴ + 10³ (11.000).

Además muchos routers wifi no implementan ninguna política de bloqueo de los intentos de autenticación y, sin embargo, sí disponen de WPS habilitado de forma predeterminada, reduciendo de esta manera el tiempo necesario para lograr que un ataque de este tipo tenga éxito.

wpscrack vs. TP-Link TL-WR1043ND - Demo de Stefan Viehboeck.

Investigadores de Tactical Network Solutions han desarrollado una herramienta llamada Reaver que implementa un ataque sobre la vulnerabilidad de WPS, siendo capaz de descubrir el PIN, y recuperar la contraseña WPA/WPA2 en cuestión de horas. La herramienta Reaver se ha liberado como un proyecto de código abierto en Google Code.

Más información:

Wi-Fi Protected Setup PIN brute force vulnerability

http://sviehb.wordpress.com/2011/12/27/wi-fi-protected-setup-pin-brute-force-vulnerability/ 

WiFi Protected Setup Flaw Can Lead to Compromise of Router PINs

http://threatpost.com/en_us/blogs/wifi-protected-setup-flaw-can-lead-compromise-router-pins-122711

Brute forcing Wi-Fi Protected Setup

http://sviehb.files.wordpress.com/2011/12/viehboeck_wps.pdf

Attack Tool Released for WPS PIN Vulnerability

http://threatpost.com/en_us/blogs/attack-tool-released-wps-pin-vulnerability-122911

Reaver

https://code.google.com/p/reaver-wps/

Juan José Ruiz

jruiz@hispasec.com