Autor Tema: :: Vulneravilidad grave :: Puerta Trasera ::  (Leído 3748 veces)

0 Usuarios y 1 Visitante están viendo este tema.

luk

  • Visitante
:: Vulneravilidad grave :: Puerta Trasera ::
« en: 02-10-2013, 12:59 (Miércoles) »
Hola compañeros,
despues de un buen rato mirando, mirando y mirando,..donde colocar este, mi primer post, no esta muy claro por lo menos la primera vez, pero eso lo comentare en otro post o hilo, muevan el hilo si no es este su lugar.

La intencion de este post es la de avisar de un fallo de seguridad, desconozco si ya existe, o fui el primero en descubrirlo.

Resulta que mi router en su interface web solo deja administar con user root y no permite crear otro ni modificar el nombre, solo es pass.

pero resulta que por debajo, despues de leer el fichero de usuarios, tiene una cuenta de root la que usamos por web, y otras,.. entre ellas existe una cuyo nombre y contraseña coinciden, aunque estan cifrazas y a simple vista no se ve y que tiene al parecer casi los mismo permisos que root.

Si para mas jodienda en la interface web no deja cambiar la mac del router, cualquiera con tu mac y tu puerta podria entar el tu red o hacerte mil y una.

Me pueden confirmar ustedes esta noticia.
Esta tarde lo probare en otros routers

Un Saludo.

 


« Última modificación: 02-10-2013, 15:29 (Miércoles) por luk »

Desconectado sanson

  • Moderador Global
  • *
  • Mensajes: 8405
Re: Re: :: Vulneravilidad grave ::
« Respuesta #1 en: 02-10-2013, 14:21 (Miércoles) »
Hola

Posteas en "problemas con el foro".
Pones un titulo que no describe nada lo que hay dentro

Y encima no dices ni modelo ni ISP que proporciona el router.

¿crees que alguien podrá contestarte algo?

Saludos

Lo muevo a su sitio

luk

  • Visitante
:: Vulneravilidad grave ::
« Respuesta #2 en: 02-10-2013, 15:27 (Miércoles) »
Hola compañero
No sabia donde ponerlo, y al final me equivoque de sitio,..lo siento.
Gracias por colocarlo en su lugar...,señor moderador
Espero no haberte enojado, pero entenderas que necesitaba ponerlo en algun sitio,...muchas gracias por tu ayuda.

Con respecto a la vulnerabilidad,...
Consiste en conectar con el router con un usuario que en principio en modo web no se conoce de su esistencia, el cual se comporta de igual modo que el usuario de pordefecto del interface web y es el que da la comñia para administar el router, aparentemente pertenece al grupo de root.

Por mucho que tu cambies el pass de root del usuario que te da la compañia si este otro usuario te permite entrar como root no es plan.

Ademas desde entorno web no puedes limitar este otro usuario oculto.

El modelo de router es un CT-5365,
por el momento no voy decir con que usuario es,
aun no lo he probado en otros router y modelos pero de conocer
este tipo de puerta trasera no te vale de nada las  otras medidas de seguridad.

¿Cando pregunta por más información, de que información es necesario
hablar, argumentar, exponer o contar..

¿Que otra informacion haria falta, publicar...?
soy nuevo...!!!
Usted pueden indicarme..

Sigo investigando con otros modelos...


 
« Última modificación: 02-10-2013, 15:28 (Miércoles) por luk »

Desconectado sanson

  • Moderador Global
  • *
  • Mensajes: 8405
Re: Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #3 en: 02-10-2013, 15:46 (Miércoles) »
Esas puertas traseras, son comunes en algunos isps como ono y las pone para tener acceso remoto a los routers (actualizarlos, configurarlos etc). 

Es cierto que es un error grave y además no informan a los usuarios .

¿de que compañía es el router ?

Saludos

buckynet

  • Visitante
Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #4 en: 02-10-2013, 15:57 (Miércoles) »
Muy guenas a tod@s !!

Timofonica o Jaartel ??

Un saludo.

PD: Como siempre, en algo, habre metido la pata.

luk

  • Visitante
Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #5 en: 02-10-2013, 23:15 (Miércoles) »
Hola Copañeros

bucknet tu eres muy bueno con las loterias,
para navidad cogere el mismo numero que tu elijas...

Bueno,.. comentandole a un compañero me a dicho que esos
routers antes solian venir con dos usuarios el que me dio la compañia por defecto para administrar por via web como root y el otro que yo he reconocido, y despues estaba el de soporte y el de test de dispositivos.

Yo el de test no lo tengo, ...
me ha comentado mi amigo que seria un error de la actualizacion, o un despiste, no es logico tener mas de uno para administracion remota....

La verdad es que para el usuario de soporte aun no he descubierto el pass , ese pass sera mas dificil digo yo, pero no mucho pues si la pass encriptada tiene 15 digitos el real no puede tener muchos digitos mas, en algun fichero debe de poner el tipo de codificacion, algo parecido a lo que pasa con el generador de psk de por defecto.

El amigo me a recomendado actualizar el firmware desde el portal, pero la pregunta es... ¿ que pasara?.. me lo bajara en modo bin o me lo actualizara directamente.?

si me lo actualiza directamente...

¿como podre obtener ese firmware en modo bin o imagen?
para otras veces..!, ¿me dejara volver al viejo firmware una vez instalado...?

¿que nuevas cosas me aportara este firmware?...mi amigo me a dicho que eso no lo sabre hasta instalarlo,... no me parece muy buena idea instar sin saber que se instala...
mas bien parece una ruleta rusa,..

el firware que actualmente tiene el router vino en el cdrom de configuracion
pero el que actualice ahora ¿como puedo obtemerlo?.

Ustedes que informacion me pueden aportar?

Un Saludo
 
« Última modificación: 02-10-2013, 23:16 (Miércoles) por luk »

Desconectado drvalium

  • Moderador Global
  • *
  • Mensajes: 17388
  • Misántropo
Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #6 en: 03-10-2013, 00:48 (Jueves) »
En los contrend hay tres usuarios y lo dice en el mismo router

Citar
Access Control -- Passwords

Access to your broadband router is controlled through three user accounts: admin, support, and user.

The user name "admin" has unrestricted access to change and view configuration of your Broadband Router.

The user name "support" is used to allow an ISP technician to access your Broadband Router for maintenance and to run diagnostics.

The user name "user" can access the Broadband Router, view configuration settings and statistics, as well as, update the router's software.

traducido

Citar
Control de Acceso - Contraseñas

El acceso a su router de banda ancha se controla a través de tres cuentas de usuario: admin, support y user.

El nombre de usuario "admin" tiene acceso sin restricciones a los cambios y ver la configuración de su router de banda ancha.

El nombre de usuario "support" se utiliza para permitir que un técnico ISP para acceder a su router de banda ancha para el mantenimiento y para realizar un diagnóstico.

El nombre de usuario "user" se puede acceder al router de banda ancha, ver los ajustes de configuración y estadísticas, así como actualizar el software del router.

¿tu dices haber encontrado un cuarto usuario? no acabo de comprender lo que quieres decirnos.

un saludo
« Última modificación: 03-10-2013, 00:49 (Jueves) por drvalium »

luk

  • Visitante
Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #7 en: 03-10-2013, 09:07 (Jueves) »
Hola compañero

Parece que tu manual es mucho mas completo que el mio, entregado por la compañia que da el servicio.

En mi manual solo viene un usuario y es la de root o Admin para entorno de administracion web, de lo otros usuarios al parecer se "olvido" la compañia de comunicarlo, desconozco la razon o los propositos.

El otro usuario que te falta en la lista que nombras es nobody, en total son 4 pero en mi manual suministrado por la compañia que da el servicio y en los bajados de este modelo de router por internet solo muestran uno y es el que tiene permisos de root, para administracion via web.

Yo estaria muy interesado en que me pasaras el manual del cual tu has obtenido esa información, o me facilitaras un enlace con la fuente del manual, me gustaria compararlo con los que yo ya tengo.

Tengo curiosidad por saber que más cosas pone en tu manual y que otras cosas la compañia se "olvido" de poner en el mio.

Un cordial Saludo.

« Última modificación: 03-10-2013, 14:32 (Jueves) por luk »

Desconectado drvalium

  • Moderador Global
  • *
  • Mensajes: 17388
  • Misántropo
Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #8 en: 03-10-2013, 16:26 (Jueves) »
hi

eso no sale en un manual sale en la misma configuración de router.

   

el usuario nobody no es un bug  ni una vulneravilidad, ahora mismo no recuerdo exactamente que era pero es conocido y  no es un bug.

luego te informo mejor sobre ello.


un saludo

buckynet

  • Visitante
Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #9 en: 03-10-2013, 17:20 (Jueves) »
Muy guenas a tod@s !!

Tras una peticion sencilla al router para que escupa todos los usuarios que guarda.

cat /etc/passwd
admin:xxxxxxxxxxxx:0:0:Administrator:/:/bin/sh
support:xxxxxxxxxx:0:0:Technical Support:/:/bin/sh
user:xxxxxxxxxxxxx:0:0:Normal User:/:/bin/sh
ftpuser:xxxxxxxxxxx:0:0:user for ftp:/:/bin/sh
nobody:xxxxxxxxxx:0:0:nobody for ftp:/:/bin/sh

Te refieres a este nobody por ftp. Ya sabia yo que no se podia rascar mas a este router.

Por cierto, no juego a la loteria, y el dia que lo haga sera porke tengo un 100%. Mientras tanto juego al 50%, pero apostando en los 2 sitios (negro y rojo).

Un saludo.

PD: Como siempre, en algo, habre metido la pata.
« Última modificación: 03-10-2013, 17:29 (Jueves) por buckynet »

Desconectado drvalium

  • Moderador Global
  • *
  • Mensajes: 17388
  • Misántropo
Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #10 en: 03-10-2013, 19:51 (Jueves) »
Según he entendido por la red ese usuario nobody se usa para el acceso remoto al router y/o a los directorios del mismo incluidos dispositivos de almacenamiento conectados a por ejemplo un puerto USB del router.

¿Es correcto?

luk

  • Visitante
Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #11 en: 03-10-2013, 23:03 (Jueves) »
Hola compañeros

Esta tarde al final me conecte para hablar con chat con ellos,
la solucion la de simpre, actualiza el firmware, .

Asi lo hice lo actulice, y como dicen por aca, pal caso patatas..

la cosa sigue igual el firmware si que cambio de version pero los usuarios y configuraciones igual con la diferencia que ahora hay menos opciones
en la dminitracion via web, siguen estando los user con su pass anterior.

desde via web solo deja el de por defecto desde luego, desde terminal los que parecen en el listado.

investigado un poco , ...
si no puedo cambiar la mac del router
no puedo cambiar la ip del wifi fijada por la compañia
si las interfaces se ven entre ellas
si ipTables esta de adorno
y para  postre hay un usuario con pass usuario
esto mas que un router es un queso gruyere..

como protejerian ustedes este queso?
« Última modificación: 04-10-2013, 00:25 (Viernes) por luk »

warcry

  • Visitante
Re: Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #12 en: 03-10-2013, 23:19 (Jueves) »
Madre mía bucky, eres capaz de amargarle el café a cualquiera...

Ósea que esta contronlao, y yo diciendo. De esto sale un script cojonudo en plan wpamagickey...

luk

  • Visitante
Re: :: Vulneravilidad grave :: Puerta Trasera ::
« Respuesta #13 en: 16-10-2013, 12:05 (Miércoles) »
Hola compañeros

Desconozco si es conocida esa vulnerabilidad en estos tipos de router
pero la cosa pinta mal.
- Red de administración fija en todos los modelos y bien conocida
- No hay posibilidad de Cambiar esa red
- No hay posibilidad de deshabilitarla, te quedas si acceso administrativos
- Esta red esta enlazada con cualquiera que cree el usuario
- Iptables existente en router, pero no corta el trafico entre ambas redes
- Usuario aparentemente desconocido con permisos de root campando a sus anchas, y que en principio el usuario desconoce que esta ahí.
- La mac no se puede cambiar, ni esconder, ni camuflar.
- Dispone de servidor ssh pero no se le puede cambia el puerto, ni restringir el acceso a usuarios, no se le puede configurar
- No vale de nada cambiar el pass de por defecto del usuario que te da de administración , si con este otro usuario entras y accedes igual que root.

He intentado deshabilitar esa red de por defecto conocida por todos y no lo permite, una vez realizada la operación no se puede acceder al router debes de reiniciarlo. Un verdadero fracaso.

El usuario distinto al que la compañía da y tiene permisos de root
no hay forma de mantenerlo restringido o deshabilitado, en cuanto apagas el router todo realizado se pierde. Esto me lo temía.

Consultando el data del chip hay 5 interfaces de red cada una con su mac
pero en la configuración del router solo hay dos una para la wifi y otra para la lan pero resulta que la segunda mac es por software y es una replica de la tarjeta de wifi, por lo tanto se puede pensar que la otra red es un alias de la verdadera red a la cual le han cambiado la mac.

Mas tarde confirmo que las dos redes están sobre la misma interface, y como iptables esta de adorno,..tenemos un queso.

Quiero formular una pregunta:

¿que opinan ustedes sobre este tipo de vulnerabilidades y como las solucionarían ustedes?

Un cordial Saludo.
« Última modificación: 16-10-2013, 15:03 (Miércoles) por luk »

//FINAL Y MÁS DOS RESPUESTAS