RootDev@blog:~$

##########################################
Vulnerabilidades en Comtrend HG536+
URL del vendedor: www.comtrend.com
Aviso: http://lostmon.blogspot.com/2009/04/comtrend-hg536-vulnerabilities.html
Notificación a los vendedores: NO
#########################################

Estos fallos se descubrieron con anterioridad por: Isecauditors, ver aquí: http://www.securityfocus.com/bid/32975

Disculpen las molestias...

#####################
Descripción del vendedor
#####################

El HG536 + es un 802.11g (54 Mbps) con cableadas e inalámbricas redes de área local (WLAN) router ADSL. Cuatro 10/100 Base-T Ethernet la cual proporciona conectividad LAN cableada con una tarjeta wireless 802.11g integrada con un punto de acceso WLAN Wi-Fi para que sea posible la conectividad inalámbrica.

################
Vulnerabilidad
################

Este dispositivo está por defecto con esta configuración:

==========================================
l LAN port IP address: 192.168.1.1
l Local administrator account name: admin
l Local administrator account password: admin
l Local non- administrator account name: user
l Local non- administrator account password: user
l Remote WAN access: disabled
l Remote WAN access account name: support
l Remote WAN access account password: support
l NAT: enable and firewall: disable
l DHCP server on LAN interface: enable
l WAN IP address: none
============================================

Todos estos defectos son debidos a que el control de acceso se basa en un control ineficaz hecho en javascript llamado 'menuBcm.js' que habilita/deshabilita las vistas de los temas en el archivo menu.html, según los usuarios que fueron conectados.

Por esta razón, un usuario normal, puede redireccionar directamente todas las páginas que son parte de la interfaz web por encima de la "pseudo restricción de acceso".

Para explotar todas las vulns, requiere tener acceso.

Vuln 1 => Error al intentar acceder

si un usuario normal no tiene acceso a la cuenta del administrador, basta con introducir en nombre de usuario: "usuario" y contraseña: "usuario" con este usuario se podrá actualizar el firmware, gestionar SNMP, ver el status del router, hacer diagnósticos sobre la conectividad ADSL. Dicho "usuario" en cierta medida es "restringido" a tomar algunas acciones.

Este router en esta versión del firmware tiene un error de control de acceso de un usuario sin privilegios (Usuario-usuario) ya que puede tener acceso a todas las funciones si hacer una solicitud directa a los interesados o archivo funciones.

por ej:

Este usuario no tiene acceso para gestionar la configuración de router pero introduciendo http://192.168.1.1/wancfg.cmd puede configurar la configuración de la WAN.

descarga la configuración =>
http://192.168.1.1/backupsettings.html

ve la clave de la red inalámbrica =>
http://192.168.1.1/wlsecurity.html

Vuln 2 => administrador de contraseñas de texto.

Inicie sesión en el router con el usuario -cuenta de usuario-
y al abrir http://192.168.1.1/password.html se muestra en el código fuente lo siguiente;

=======================
pwdAdmin = 'admin';
pwdSupport = 'support;
pwdUser = 'user';
=======================


###############
Versiones
###############

Comtrend HG536+
firmware A101-302JAZ-C03_R14.A2pB021g.d15h

##############
Solución
#############

No hay aún ninguna solución en este momento.

Por defecto de este router está configurado para negar el acceso de las conexiones WAN, pero este estilo de ataque que se puede hacer con cualquier usuario encontrándose ya sea dentro de la LAN o aún teniendo acceso desde la WAN.

Configurar para negar conexiones WAN y conceder acceso al dispositivo, sólo hay que confiar en los usuarios.

################# €nd #############
--
atentamente:
Lostmon (lostmon@gmail.com)
Web-Blog: http://lostmon.blogspot.com/

------------------

thz Lost :-)