Übernahme möglich: DrayTek-Router mit kritischer Sicherheitslücke
Zusammenfassung
Trellix fand 2022 eine kritische Lücke (CVE-2022-32548, CVSS 10.0) in zahlreichen DrayTek-Routern, über die unangemeldete Angreifer die Geräte übernehmen konnten. Ein Logikfehler bei der Längenprüfung auf der Login-Seite /cgi-bin/wlogin.cgi führte zu einem Pufferüberlauf, ausnutzbar aus dem LAN oder über das Internet, wenn die Verwaltung dort erreichbar war. Die Forscher fanden über 200.000 verwundbare Geräte im Netz.
Ideen
- Eine Lücke vor der Anmeldung ist die gefährlichste Klasse bei Netzwerkgeräten.
- Präparierte Base64-Werte in Formularfeldern lösten den Überlauf aus.
- Auch der SSL-VPN-Dienst konnte ein Angriffsweg sein.
- Ein übernommener Router dient als Sprungbrett ins interne Netz.
Einsichten
- Aus dem Internet erreichbare Verwaltungsoberflächen machen aus einer Lücke eine Massenbedrohung.
- Gerade Router für kleine Firmen stehen oft ungeschützt am Netzrand.
Fakten
- Betroffen waren rund 30 Modellreihen, von Vigor130 bis Vigor3910.
- DrayTek riet als Workaround, den Internetzugriff auf die Verwaltung zu sperren und SSL-VPN abzuschalten.
Referenzen
Kritik
- Die lange Modellliste hilft beim Abgleich, erklärt aber nicht, welche Geräte standardmäßig aus dem Internet verwaltbar waren.
Empfehlungen
- Sperre die Verwaltungsoberfläche von Routern grundsätzlich aus dem Internet.
- Ersetze SSL-VPN auf Consumer- und SOHO-Routern durch ein separates, gepflegtes VPN wie WireGuard.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.