Kaspersky Lab обнаружила четыре уязвимости в роутерах DIR-620 от D-Link

Исследователи Kaspersky Lab обнаружили бэкдор-аккаунт в прошивке роутеров линейки DIR-620 от D-Link. Он позволяет хакерам получить контроль над любым устройством через веб-панель, запускать в пользовательском окружении произвольный JavaScript-код, а в операционной системе роутера — любые команды.

Исследователи Kaspersky Lab рассказали о нескольких уязвимостях, скрытых в роутерах линейки DIR-620 от D-Link. Одна из наиболее критических — бэкдор-аккаунт в прошивке. Он позволяет хакерам получить контроль над любым устройством через веб-панель, запускать в пользовательском окружении произвольный JavaScript-код, а в операционной системе роутера — любые команды. При этом владелец не может сам отключить жестко прошитую учетную запись.

География уязвимости

Эта линейка роутеров уже устарела, и в обороте их осталось немного. Наибольшая часть осела в России, СНГ и странах Восточной Европы.

Kaspersky Lab сообщила D-Link о бэкдоре, однако компания ответила, что не планирует выпускать обновление для таких старых моделей, разве что кто-то из корпоративных клиентов об этом попросит. Таким образом, единственный способ защиты для владельцев DIR-620 — закрыть отображение панели администратора устройства в интерфейсе WAN.

Интернет-провайдеры, которых Kaspersky Lab оповестила о проблеме, ограничили доступ к этим устройствам в своих сетях.

Одна из четырех

Жестко прошитая учетная запись является лишь одной (CVE-2018-6213) из четырех уязвимостей, которые исследователи Kaspersky Lab обнаружили в этих устройствах.

CVE-2018-6210 — позволяет восстанавливать учетные данные Telnet.
CVE-2018-6211 — позволяет выполнять команды операционной системы через один из параметров URL-адреса в панели администратора.
CVE-2018-6212 — отображает межсайтовый скриптинг (XSS) в поле «Быстрый поиск» панели администратора.

CVE-2018-6210 и CVE-2018-6213 считаются опасными уязвимостями, поскольку позволяют легко получить доступ к устройству. Все четыре бреши обнаружены в версии прошивки 1.0.37. Но некоторые из них в разной степени активны и в других версиях:

1.0.3;
1.3.1;
1.3.3;
1.3.7;
1.4.0;
2.0.22.

Бэкдор-аккаунт в начале 2018 года обнаружили также в сетевых хранилищах Western Digital My Cloud. В устройствах был жестко прошит админский аккаунт с предустановленной связкой логин/пароль, которые невозможно изменить.