Ataki na popularne routery TP-Link

Cybersecurity and Infrastructure Security Agency (CISA) dodała informację o atakach na routery TP-Link do katalogu znanych, wykorzystywanych podatności (baza KEV). Wszystko za sprawą podatności oznaczonej symbolem CVE-2023-33538, która pozwala na wstrzykiwanie poleceń.

Routery TP-Link TL-WR841N oraz TL-WR740N czyli popularne “mydelniczki” zdobyły popularność w Polsce z uwagi na niewygórowaną cenę oraz dobry stosunek jakości do ceny. Nie bez znaczenia była też pewnie możliwość użycia otwartego oprogramowania OpenWrt w niektórych wersjach. Są popularne od lat, ale – mimo braku wsparcia dla najnowszych standardów – nadal cieszą się popularnością. Widać to w statystykach sprzedaży popularnym sklepie internetowym.

Niestety, pod podanymi wyżej modelami ukrytych jest wiele wersji sprzętu i oprogramowania. Rekordzistą jest tu chyba TL-WR841N, z ponad dziesięcioma wersjami, wg strony OpenWrt. Część z nich nie jest wspierana przez producenta i niestety właśnie one okazały się podatne. Oznacza to, że nie możemy liczyć na poprawienie błędów.

Opisywana podatność dotyczy modeli TP-Link TL-WR940N V2/V4, TL-WR841N V8/V10, oraz TL-WR740N V1/V2.

Co robić w tej sytuacji?

Niestety, użycie OpenWrt nie będzie raczej możliwe – projekt także zakończył wsparcie modelu TL-WR841N z uwagi na ograniczenia pamięci RAM oraz flash. Hobbyści mogą tworzyć własne, okrojone obrazy OpenWrt, bez zarządzania w trybie GUI, ale nie jest to rozwiązanie dla przeciętnego użytkownika.

Idealnym rozwiązaniem z punktu widzenia bezpieczeństwa jest wymiana sprzętu na posiadający wsparcie. Tym bardziej, że opisywane modele nie posiadają choćby wsparcia dla pasma 5 GHz.

Jeśli z jakichś powodów jest to niemożliwe, lub sprzęt jest używany tymczasowo lub tylko w zaufanym środowisku, należy przynajmniej upewnić się, że panel zarządzania nie jest dostępny z sieci publicznej za pośrednictwem interfejsu WAN. Ograniczy to wektor ataku do urządzeń w sieci LAN, podłączonych bezpośrednio do routera.

Ponieważ podatność wymaga uwierzytelnienia, warto też zabezpieczyć dostęp do interfejsu zarządzania przy pomocy silnego hasła. Tutaj znajdziecie szczegółowe zalecenia CERT NASK dotyczące haseł.

Czytelników zainteresowanych szczegółami podatności odsyłamy do archiwalnego PoC.

~Paweł Różański