מודם D1000, שסופק ללקוחות של ספק התקשורת Eir, מאזין לפרוטוקול ניהול שמיועד לספק עצמו, ולא מגביל כראוי מי מורשה לדבר איתו. מי שפונה לפורט 7547 במודם יכול לשלוף ממנו את סיסמת הניהול ולהריץ עליו פקודות. החולשה דורגה 9.8 מתוך 10, והיא לא נמצאת בקטלוג החולשות שידוע על ניצולן בפועל.
מה החולשה?
כשספק האינטרנט שולח לכם נתב, הוא צריך דרך לתחזק אותו מרחוק: לעדכן קושחה, לשנות הגדרות, לאבחן תקלה בלי לשלוח טכנאי. לשם כך יש במודם שירות ניהול שמאזין על פורט 7547 ומדבר בפרוטוקול בשם TR-064. הכוונה היא שהשירות הזה יהיה פתוח לספק בלבד.
במודם הזה ההגבלה הזאת לא נאכפת כמו שצריך, וכל מי שמצליח להגיע אל הפורט מקבל לידיו את כלי הניהול. הרישום ב-NVD מתאר שרשרת בת שלושה שלבים: התוקף פותח דרך השירות גישה מהאינטרנט אל פורט 80 של המודם, שולף את סיסמת הכניסה, ואז משתמש בתכונה שמגדירה שרת זמן בשם NewNTPServer כדי להריץ פקודות.
החלק שבאמת כדאי לשים לב אליו הוא השני. סיסמת הניהול במודם הזה היא בברירת מחדל סיסמת הרשת האלחוטית. כלומר שליפה אחת מחזירה לתוקף גם את המפתח לממשק הניהול וגם את הסיסמה שכל מי שבבית מקליד בטלפון שלו.
מי מושפע?
הרישום נוגע לדגם אחד, מודם D1000 של Eir. Eir אינו ספק שפועל בישראל, ולכן מודם D1000 אינו המכשיר שספק האינטרנט שלכם השאיר אצלכם בבית. הסיכוי שהוא מונח לכם בסלון קרוב לאפס.
אז למה הדף הזה קיים? כי המקרה הזה הוא הדוגמה הנקייה לבעיה שכן נוגעת לכל מי שמשתמש בנתב שקיבל מהספק: שירות ניהול שנועד לעיני הספק, שחשוף בטעות לכל האינטרנט. התקלה הספציפית היא של דגם אחד. הסוג שלה אינו.
האם מנוצלת בפועל?
החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן, ולכן אין כאן אישור רשמי לניצול בשטח. זה לא אומר שלא נוצלה: שרשרת התקיפה המלאה פורסמה בפומבי ב-2016, בבלוג המחקר devicereversing, וצוות ISC SANS פרסם דף שריכז את מה שידוע על ניצול התכונה NewNTPServer. חולשה בפורט ניהול שתיעוד ההשמשה שלה פומבי אינה חולשה תיאורטית.
מה עושים?
אם יש לכם מודם D1000 של Eir, התיקון אינו בידיכם. מכשיר שמנוהל על ידי הספק מתעדכן דרך הספק, ולכן הצעד הראשון הוא לפנות אליו ולבקש קושחה מתוקנת או החלפת מכשיר.
לכל השאר, שתי בדיקות שאפשר לעשות על הנתב שכן נמצא אצלכם בבית. ראשית, בדקו אם פורט 7547 שלו נגיש מהאינטרנט, או בקשו מהספק לאשר שהשירות חסום לכל מי שאינו הוא עצמו. שנית, אם סיסמת ממשק הניהול של הנתב זהה לסיסמת הרשת האלחוטית, שנו אותה עכשיו לסיסמה אחרת. הן לא צריכות להיות אותו דבר, וכשהן כן, דליפה אחת היא שתי דליפות.