• 欢迎访问安全专题网站,安全专题信息,安全专题教程,推荐使用最新版火狐浏览器和Chrome浏览器访问本网站,欢迎加入安全专题 QQ群
  • 安全专题现已支持滚动公告栏功能,兼容其他浏览器,看到的就是咯,在后台最新消息那里用li标签添加即可。
  • 如果您觉得本站非常有看点,那么赶紧使用Ctrl+D 收藏安全专题吧

TR-064漏洞受影响厂商设备及TR-064协议安全性分析

安全事件 aqzt 1年前 (2016-12-19) 287次浏览 0个评论

TR-064 漏洞受影响厂商设备及 TR-064 协议安全性分析

作者:英国 Xiphos Research 高级安全研究员  Darren Martyn

过去几个星期,嵌入式设备表现出来的安全状况让人担忧,在 Mirai 的早期代码被公开之后,我就认为一些“智能设备”僵尸网络将会迅速传播,除了 telnet 扫描之外,可能还会以其它多种方式扩大感染范围。果不其然,这种情况真的出现了-《德国路由器漏洞导致的大规模 DDos 攻击

坦率地说,我个人认为,导致上述德国网络受到攻击的首要原因,归根到底不是因为 Mirai,而是因为设备供应商在运行 TR-064 协议时存在的漏洞。这是目前经我们研究发现的,一些受 TR-064 漏洞影响的设备供应商和产品列表:完整列表点此获取 paste.ubuntu

TR-064 漏洞受影响厂商设备及 TR-064 协议安全性分析

以下是我个人对 TR-064 技术标准的安全性分析:

TR-064 协议理解

TR-064:全称 LAN 侧 DSL 设备管理配置协议,是 LAN 端对路由器、调制解调器等客户终端设备(CPE) 的管理协议。在家庭网络环境或 ISP 公司内网中,允许各种客户端软件进行连接操作或技术支持管理。这些软件包括 ISP 提供商的 CD 安装程序或软件包等。

TR-064 规格基于类似 UPnP 的 SOAP 协议,允许查看、修改和设置,其默认端口为 TCP 7547。命令会以 POST 请求的形式被发送至此端口。通过该协议,可以实现设备的 DNS 服务器、NTP 服务器、wifi 设置和 ACS 服务器等配置的修改。

TR-064 安全模型

TR-064 的技术标准文档第 4 节,对安全性作了说明,其中指出“任何对 CPE 设备的更改性访问行为都必须有密码保护”,另外,文档还提到任何登录访问必须要求 HTTP 基本认证,当然建议使用 SSL/TLS;其次,对密码等敏感信息设置不可读权限,对状态、数据设置只读权限,而“认证”(authentication)项则不作要求。

TR-064 漏洞受影响厂商设备及 TR-064 协议安全性分析

虽然文档中声明此协议规定只限 LAN 端的访问管理,但并没有特别指出 WAN 端口对协议服务的访问限制。

TR-064 技术标准中的安全缺陷

1.未对认证模式设置只读权限;

2.仅限制了对设备配置的更改和写入操作才需要密码认证;

3.仅设置了对密码信息的不可读权限。

另外,在现实情况中,很多供应商要么就根本就没有发现该标准中存在的不足,要么就是完全忽略了安全的重要性,把这些标准束之高阁。而即使是按照该 TR-064 标准执行的厂商,其设备当然会存在安全问题,如认证操作滥用、WAN 端接入和其它信息的获取。

TR-064 端口暴露在互联网上的安全风险

简单的说,目前 TR-064 协议存在的问题将会导致攻击者不需要任何安全认证,而直接对 CPE 设备状态进行重新配置,并进行更多的恶意操作,比如:

1.创建新的防火墙或端口映射规则(访问内部网络…或 Telnet /设备上的 SSH /管理员界面等);

2.获取 WPA 密码、无线 MAC 地址、无线 SSID 信息等;

3.更改 CPE 设备的 DNS 服务配置进行欺骗攻击;

4.更改 CPE 设备的 ACS 配置服务信息。

SetNTPServers 命令注入漏洞

kenzo2017 分析的爱尔兰宽带路由器 SetNTPServers 命令注入就是很好的例子,当向 SOAP 终端设备发送特定的 SetNTPServers 命令,让设备设置不同的 NTPServer 值,如 NewNTPServer1、NewNTPServer2…,同时注入漏洞攻击代码,CPE 设备将会以 root(管理员)权限执行命令。

TR-064 漏洞受影响厂商设备及 TR-064 协议安全性分析

目前,Mirai 等多个僵尸网络恶意软件通过此漏洞进行传播感染,CPE 设备被植入攻击之后,恶意软件就会关闭 TR-069 端口 7547 防止重复感染,同时阻止 ISP 提供商的远程接入。即使 CPE 设备重启,漏洞和恶意软件也将持久驻留。这种蠕虫僵尸网络的传播将会对全球 ISP 造成灾难性影响,目前,受影响的 ISP 有:德国电信 Telekom、英国 Kcom 电信、英国 TalkTalk 电信、英国 Post Office Broadband 以及爱尔兰电信 Eir 等。另外,据我们研究发现,Demon Internet、Plusnet、爱尔兰 Vodafone、巴西 VEVO 等大型 ISP 的 CPE 设备也存在类似漏洞隐患。虽然德国电信断网事件中发现了将近一百万存在隐患的网络设备,但据我们分析,全球将近有 1000 万设备存在类似隐患的终端设备。

补丁更新与 botnet 感染之间存在的竞态条件

恶意软件感染了 CPE 设备之后,将会及时关闭 TR-064 和 TR-069 的接入端口,使得 ISP 提供商无法在线进行固件更新,即使重启之后,恶意软件还会立即重新植入,整个被感染设备成为一个闭合状态。

因此,当设备重启之后,ISP 的补丁更新和恶意软件的重新感染之间就形成了一个典型的“竞态条件”,在恶意软件重新感染之前,ISP 的补丁更新必须完成,才能保证设备后期的安全。但在这场较量中,据我们监测发现,大部分的蠕虫僵尸网络已经把我们的 ISP 提供商打败。

或许有些 ISP 提供商声称,他们可以进行网络过滤,但其实这种效果极不理想。

总结

从目前的隐患状况来看,事态发展令人可怕。标准制订缺陷、设备制造安全性不足、ISP 提供商后期管理维护不力 等一系列系统性“失效”,最终导致的结果就是,让我们普通终端用户受到攻击威胁,甚至由此造成更多损失。按目前这种情况来看,有以下几点建议:

1.由于设备在生产制造时缺乏安全性设计,设备供应商应该承担责任;

2.ISP 提供商应该从源头上对传播感染和攻击进行大力阻止和过滤;

3.在设备制造生产前,ISP 提供商和设备供应商应该共同就安全问题进行研究考虑;

4.当涉及到安全问题时,应该严格按照相关标准规定执行;

5.攻击者发现和利用漏洞的速度和程度远远超出我们的想像,ISP 提供商和设备供应商应该加强补丁的开发、更新和研究工作。

**参考来源:LinkedinFB 小编 clouds 编译,转载请注明来自FreeBuf.COM


Selinux 中国 , 版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明原文链接:TR-064 漏洞受影响厂商设备及 TR-064 协议安全性分析
喜欢 (0)
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址