HTCinside
Se ha encontrado una vulnerabilidad crítica en TP-Link que afecta a sus enrutadores Archer. Aprovechando la vulnerabilidad, los atacantes pueden anular la contraseña de acceso de administrador y hacerse cargo de los dispositivos de forma remota a través de LAN (Red de área local) con la ayuda de una conexión Telnet. Los usuarios legítimos ya no podrán acceder a los servicios web porque la contraseña es inaceptable.
“Si se explota, esta vulnerabilidad del enrutador puede permitir que un atacante remoto tome el control de la configuración del enrutador a través de Telnet en la red de área local (LAN) y se conecte a un servidor de Protocolo de transferencia de archivos (FTP) a través de la LAN o red de área amplia (WAN) ”, según IBM X-Force Red Grzegorz Wypych escrito en su cuenta de Twitter.
Los atacantes pueden explotar esta falla de seguridad enviando una solicitud HTTP que contiene un carácter más largo que el número estándar de bytes. En consecuencia, la contraseña del usuario queda completamente anulada y cambiada con un valor en blanco.
TP-Link tiene una validación integrada, pero los atacantes logran anular la contraseña. Esto se debe a que el sistema solo verifica los encabezados HTTP del remitente. Esto permite al atacante engañar al servicio httpd del enrutador para dar a entender que la solicitud es válida. Los atacantes usan el codificadotplinkwifi.netvalor.
Dichos enrutadores son utilizados solo por el acceso de 'Administrador' que tiene los permisos de raíz completos. Entonces, una vez que los atacantes eluden el proceso de autenticación, obtienen el privilegio de obtener el permiso de administrador.
“Todos los procesos son ejecutados por el usuario bajo este nivel de acceso, lo que puede permitir que un atacante opere como administrador y se haga cargo del dispositivo. Los atacantes no solo pueden obtener acceso privilegiado, sino que también se puede bloquear al usuario legítimo y ya no podría iniciar sesión en el servicio web a través de la interfaz de usuario, ya que esa página ya no aceptaría ninguna contraseña (sin que el usuario lo sepa). agrega Wypych. “En tal caso, la víctima podría perder el acceso a la consola e incluso a un shell y, por lo tanto, no podría restablecer una nueva contraseña”.
El problema prevalecerá incluso cuando el propietario del administrador cambie la contraseña y establezca una nueva. Los atacantes podrán anular la nueva contraseña también utilizando otra red LAN/WAN/CGI. Además, las claves de cifrado RSA también fallarán, porque no pueden funcionar si el campo de la contraseña está en blanco.
Esta falla se considera crítica ya que puede otorgar acceso de terceros no autorizados al enrutador con privilegios de administrador, que son los predeterminados en este dispositivo para todos los usuarios, sin que se lleve a cabo la autenticación adecuada”, explica Wypych.
“El riesgo es mayor en las redes comerciales donde se pueden usar enrutadores como este para habilitar Wi-Fi de invitados. Si se coloca en la red empresarial, un enrutador comprometido puede convertirse en un punto de entrada para un atacante y un lugar desde el que pivotar en tácticas de reconocimiento y movimiento lateral”.
TP-Link lanzó inmediatamente los parches de seguridad para ayudar a los clientes y proteger los enrutadores de los atacantes. Para descargar los parches de seguridad disponibles para los enrutadores Archer C5 V4, Archer MR200v4, Archer MR6400v4 y Archer MR400v3.