Puerto TCP 32764 o una puerta abierta en numerosos routers de Cisco, ¿bug masivo o backdoor intencionado?

<div style="text-align: justify;"> <span style="font-family: Arial,Helvetica,sans-serif;"><span style="font-size: small;"><span>Hace tiempo <a href="http://forum1.netgear.com/showthread.php?p=270354" target="_blank">alguien se extrañó</a> al ver que en su router Netgear estaba abierto el <b>puerto TCP 32764</b>... pero es ahora a principios de año cuando el francés Eloi Vanderbeken ha alertado a la Comunidad al advertir la presencia de <b>un backdoor corriendo en este puerto en numerosos routers Netgear, Linksys y Cisco.</b></span></span></span></div> <div style="text-align: justify;"> <span style="font-family: Arial,Helvetica,sans-serif;"><span style="font-size: small;"><span><b> </b></span></span></span></div> <div class="separator" style="clear: both; text-align: center;"> <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjjekvDcal8DuLzzh6Tat0XM27qsiRx5Pe1bdYwtaFTlghG5trJCmaom0HDGY5xexXpFBuFoEwmLNr5iaz3ixj53dtpvhAaBC3uXAzMTxOmr_bHyUYSnnOOhefIgNbLaNMZ-KfPQAgaVyQo/s1600/cisco_backdoor.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="320" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjjekvDcal8DuLzzh6Tat0XM27qsiRx5Pe1bdYwtaFTlghG5trJCmaom0HDGY5xexXpFBuFoEwmLNr5iaz3ixj53dtpvhAaBC3uXAzMTxOmr_bHyUYSnnOOhefIgNbLaNMZ-KfPQAgaVyQo/s1600/cisco_backdoor.jpg" width="320" /></a></div> <div style="text-align: justify;"> <span style="font-family: Arial,Helvetica,sans-serif;"><span style="font-size: small;"><span><br />Después de un análisis de firmware, Vanderbeken descubrió numerosas vulnerabilidades como desbordamientos de memoria basados en pila o <i>path traversal</i>, llegando a conseguir el acceso y control total del dispositivo (<i>shell</i>) a través de este puerto sin ningún tipo de autenticación. Así mismo se podrían realizar denegaciones de servicio, pudiendo resetear la configuración de fábrica o la obtención de la configuración del sistema (routercfg.cfg).<br /><br />En el <a href="https://github.com/elvanderb/TCP-32764" target="_blank">repositorio GitHub de Vanderbeken</a> podéis encontrar un listado de los modelos de routers vulnerables ya confirmados así como una descripción de la vulnerabilidad y la PoC correspondientes:</span></span></span> <span style="font-family: Arial,Helvetica,sans-serif;"><span style="font-size: small;"><br /></span></span> <span style="font-family: Arial,Helvetica,sans-serif;"><span style="font-size: small;"><span><a href="https://github.com/elvanderb/TCP-32764" target="_blank">https://github.com/elvanderb/TCP-32764</a></span></span></span> <span style="font-family: Arial,Helvetica,sans-serif;"><span style="font-size: small;"><a href="https://www.blogger.com/null" name="more"></a><span>  </span></span></span> <span style="font-family: Arial,Helvetica,sans-serif;"><span style="font-size: small;"><span>Ante eso, <a href="http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140110-sbd" target="_blank">Cisco ha tenido que confirmar</a> finalmente la existencia de esta puerta trasera indocumentada en varios de sus routers que podrían permitir a un atacante remoto "<i><b>obtener acceso de root</b> en un dispositivo afectado</i>" por medio de lo que llaman "<b><i>una interfaz de prueba indocumentada en el servicio TCP 32764</i></b>".<br /><br />"<i>Un atacante podría aprovechar esta vulnerabilidad mediante el acceso al dispositivo afectado <b>desde la interfaz de la LAN</b> y ejecutar arbitrariamente comandos en el sistema operativo subyacente. Un exploit podría permitir al atacante acceder a las credenciales de usuario de la cuenta de administrador del dispositivo, y leer la configuración del dispositivo</i>" afirmó la empresa.<br /><br />¿Realmente se trata de un fallo y olvidaron eliminar un "interfaz de prueba" en NUMEROSAS versiones de firmware de NUMEROSOS dispositivos? <s>Ni de coña</s> Cuesta creerlo... así que parece tratarse de otro backdoor que nos regala el fabricante...</span></span></span> <span style="font-family: Arial,Helvetica,sans-serif;"><span style="font-size: small;"><span><br /></span></span></span> <span style="font-family: Arial,Helvetica,sans-serif;"><span style="font-size: small;"><span><b>Fuentes</b>:<br />- <a href="http://www.tripwire.com/state-of-security/top-security-stories/cisco-discloses-existence-undocumented-backdoor/" target="_blank">Cisco Discloses Existence of Undocumented Backdoor in Routers </a><br />- <a href="http://unaaldia.hispasec.com/2014/01/acceso-remoto-no-documentado-en-routers.html" target="_blank">Acceso remoto no documentado en routers DSL Linksys y Netgear </a><br />- <a href="http://www.bleepingcomputer.com/forums/t/520006/backdoor-found-in-many-consumer-routers-and-waps-port-32764-vulnerability/" target="_blank">Backdoor found in many consumer routers and WAPs (Port 32764 vulnerability) </a><br />- <a href="http://securityaffairs.co/wordpress/20941/hacking/netgear-linkys-routers-backdoor.html" target="_blank">Netgear, Linksys and many other Wireless Routers have a backdoor </a><br />- <a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0659" target="_blank">CVE-2014-0659 </a></span></span></span></div>

Hace tiempo alguien se extrañó al ver que en su router Netgear estaba abierto el puerto TCP 32764 ... pero es ahora a principios de año cu...

Leer más »