Уязвимость найдена на большинстве домашних Wi-Fi-роутеров казахстанцев

Служба реагирования на компьютерные инциденты Kz-Cert предупредила казахстанцев о том, что более миллиона оптоволоконных GPON-маршрутизаторов могут быть доступны удаленно. Об этом сообщается на сайте службы, передает NUR.KZ.

Это стало возможным благодаря ошибке обхода аутентификации, которая легко используется.

Был обнаружен способ обойти аутентификацию на GPON-устройствах путем изменения URL-адреса в адресной строке браузера при доступе на устройство (CVE-2018-10561).

С помощью данного метода обхода аутентификации также возможно проэксплуатировать еще одну уязвимость в отношении ввода команд (CVE-2018-10562).

Добавив «?images/» (допустимы также ?script/ и ?style/) в конец веб-адреса на любой странице конфигурации маршрутизатора, злоумышленник получит почти полный доступ к маршрутизатору.

Поскольку команды ping и traceroute на диагностической странице устройства работают на уровне «root», другие команды также могут быть удаленно запущены на устройстве.

"После проверки наличия данной уязвимости на GPON-маршрутизаторах операторов связи РК, уязвимость была обнаружена на большинстве из них и ее эксплуатация может привести к компрометации всей сети и к проведению распределенной атаки «отказ в обслуживании».

Соответствующая информация и рекомендации были направлены операторам связи РК", - говорится в сообщении Kz-Cert.

Между тем, в службе по связям с общественностью АО "Казахтелеком" проинформировали, что в настоящее время на сети отсутствуют какие-либо инциденты, связанные с безопасностью.

"По состоянию на 18.00 часов по времени Астаны не зарегистрированы массовые жалобы в Контакт-центр или обращения клиентов в социальных сетях, связанные с проблемами с доступом к услугам, отказом работы устройств.

Настоящим сообщаем, что АО «Казахтелеком» на постоянной основе проводит превентивную аналитическую работу на предмет выявления угроз безопасности. На данный момент угрозы отсутствуют, все услуги и сервисы работают в штатном режиме", - сообщили в организации.