שירות אחד בתוך נתבים ביתיים רבים, אותו שירות שפותח פורטים אוטומטית כדי שמשחקים ומצלמות יעבדו בלי הגדרה ידנית, מקבל בקשה מהרשת ומריץ ממנה קוד. החולשה קיבלה 9.8 מתוך 10, היא אינה דורשת סיסמה ואינה דורשת שום פעולה ממי שמחזיק בנתב. סוכנות הסייבר האמריקאית CISA מסמנת אותה כמנוצלת בפועל, והרשומה עצמה אומרת שהניצול נמשך עד 2023.

מה החולשה?

נתב ביתי מריץ בתוכו שרת קטן שמקבל בקשות ממכשירים ברשת. אחת המשימות שלו היא UPnP, מנגנון שמאפשר למכשיר ברשת לבקש מהנתב לפתוח לו פורט בעצמו, בלי שאף אחד ייכנס לממשק הניהול ויגדיר זאת ידנית. הרכיב שמטפל בבקשות האלה בנתבים שברשימה נקרא miniigd, והוא מגיע מתוך ה-SDK של Realtek, חבילת הקוד שיצרן השבב מספק ליצרני הנתבים.

הבקשות ל-UPnP נשלחות בפורמט SOAP, הודעה בנויה שהשרת מפרסר ושולף ממנה את הפרטים. לפי הרשומה, בקשה מסוג NewInternalClient שנבנתה במיוחד גורמת ל-miniigd להריץ קוד שהתוקף בחר. זה כל התנאי.

הווקטור מסביר את הציון. התקיפה מגיעה דרך הרשת, המורכבות שלה נמוכה, לא נדרשות הרשאות מוקדמות ולא נדרשת שום פעולה מצד המשתמש, ושלושת סוגי הנזק, סודיות שלמות וזמינות, מסומנים כגבוהים. נתב הוא גם המכשיר שכל התעבורה של הבית עוברת דרכו, כך שתוקף שמריץ עליו קוד נמצא בעמדה טובה יותר מתוקף שהשתלט על מחשב בודד ברשת.

מי מושפע?

הרשומה מונה דגמים של D-Link עם גרסאות הקושחה שלהם: DIR-905L עד 2.05b01, DIR-605L עד 1.14b06, DIR-600L עד 1.15, ו-DIR-619L עד 1.15 ובמהדורת חומרה אחרת עד 2.07b02. ברשימת המוצרים שמסומנים כחשופים מופיעים גם DIR-809, DIR-900L, DIR-501, DIR-515 ו-DIR-615, וכן נתבי Aterm מדגמים WG1900HP, WG1900HP2, WG1800HP3, WG1800HP4 ו-WG1200HS2.

אורך הרשימה מוסבר בכך שהחולשה יושבת בחבילת הקוד של Realtek ולא בקוד של D-Link. יצרן השבב כתב את הרכיב, יצרני הנתבים הטמיעו אותו במוצרים שלהם, והשם שמופיע על הקופסה אינו מעיד על מי כתב את הקוד הפגיע.

בישראל מדובר בנתבים ביתיים שנמכרו בשנים ההן, בעיקר דגמי D-Link מסדרת DIR. נתבי Aterm שברשימה נמכרו בעיקר ביפן ופחות סביר למצוא אותם כאן. נתב ביתי מתחלף בדרך כלל רק כשהוא מפסיק לעבוד, ולכן ציוד מ-2015 שעדיין עובד הוא בדיוק המקרה שהרשימה הזאת מדברת עליו.

האם מנוצלת בפועל?

כן. ב-18 בספטמבר 2023 נכנסה החולשה לקטלוג ה-KEV של CISA, רשימת החולשות שנאספה עליהן ראיה לכך שתוקפים משתמשים בהן בשטח ולא רק הערכה של חומרה. המועד שנקבע לגופים הפדרליים לטפל בה היה 9 באוקטובר 2023. גם התיאור ב-NVD אומר במפורש שהחולשה נוצלה בשטח עד 2023.

הרשומה פורסמה במאי 2015, ובין הפרסום לכניסה לקטלוג עברו שמונה שנים שבמהלכן הנתבים האלה המשיכו לעבוד בבתים בלי שאף אחד נגע בהם.

מה עושים?

התחילו מהדגם ומגרסת הקושחה. שני הפרטים האלה מופיעים במדבקה שבתחתית הנתב ובממשק הניהול שלו, שאליו נכנסים מהדפדפן בכתובת שרשומה על אותה מדבקה. השוו את הגרסה לרשימה שלמעלה: אם הדגם מופיע והגרסה שרצה עליו שווה או נמוכה מהמספר שליד הדגם, הנתב פגיע.

את העדכון מורידים מהודעת האבטחה של D-Link, שמרכזת את הדגמים ואת הקושחה המתוקנת לכל אחד מהם. פירוט נוסף על הדגמים מופיע בהתראות JVN47580234 ו-JVN67456944.

אם בממשק הנתב יש אפשרות לכבות UPnP, כיבוי שלה מוציא מהאוויר את השירות שבו יושבת החולשה. המחיר הוא שמכשירים שסומכים על פתיחת פורטים אוטומטית, בעיקר קונסולות משחק ומצלמות, יצטרכו הגדרה ידנית. ודאו בנוסף שממשק הניהול של הנתב עונה רק מהרשת הביתית ולא מהאינטרנט.

ולדגמים שכבר אינם מקבלים קושחה חדשה, התשובה המעשית היא החלפה. נתב שאין לו יותר תחזוקה ימשיך להריץ את אותו רכיב פגיע כל עוד הוא מחובר.