爱尔兰数万宽带Moderm存在漏洞可被远程入侵控制

Eir，爱尔兰最大的ISP提供商，其为数万客户提供使用的Eir D1000 宽带调制解调器存在漏洞，可被远程入侵控制，导致全国大面积网络面临被攻击威胁。

背景

本月初，名为“kenzo”的安全研究员针对Eir D1000 modem进行了分析，发现其中开启了与TR－064和TR-069两种协议相关的端口号7547。

TR-064：全称LAN侧DSL被管理设备设置协议，是LAN 端基于 XML 的 CPE 管理协议，允许各种客户端激活和支持使用案例，特别是在家庭网络环境中。TR-064与TR-069相关。

TR－069：全称CPE广域网管理协议。提供了对下一代网络中家庭网络设备进行管理配置的通用框架和协议，用于从网络侧对家庭网络中的网关、路由器、机顶盒等设备进行远程集中管理。在TR－069所定义的框架中，主要包括两类逻辑设备：受管理的用户设备和接入控制服务器（ACS），ACS负责管理接入设备。采用过去人工方式对设备进行维护和管理将会成为一个巨大的负担，TR－069的出现正是为了解决这样一个服务难题。

由于电信公司对远程设备进行管理的接入控制服务器（ACS）中同时运行有TR-069和TR-064协议，TR-069应用于广域网，而TR-064应用于局域网。问题却出在了这儿，按理来说，在WAN端是不能访问TR-064协议的，但是针对Eir D1000 modem，在WAN端向其moderm设备的7547端口发送以下TR－064命令之后，将使得攻击者可以远程从互联网端对moderm进行操作配置。

DeviceInfo/GetInfo:
 This gives general information about the modem including serial number, 
 firmware version, device description etc...

WLANConfiguration/GetSecurityKeys:
 This returns the Wi-Fi key

WLANConfiguration/GetInfo:
 This returns the SSID and MAC address

Time/SetNTPServers:
 This is the pièce de résistance. We can exploit this command to run
 busybox shell commands on the modem. e.g. setting the NTP server to
 "`iptables -F INPUT`" turns off the firewall on the modem which in 
 turn allows access to the administration interface on port 80.

漏洞利用代码

向调制解调器发送的经过构造的TR－064命令可以实现两种操作，一种是moderm端防火墙上开启80端口，实现网络管理界面远程访问，另一种是获取moderm的wi-fi密码，该密码即网络管理界面登录密码。漏洞利用代码参见：http://paste.ubuntu.com/23526250/

其它

1、就像2015年初，由于CVE-2014-9222影响固件的“Misfortune Cookie”漏洞一样，这些bug虽然不是单纯的软件漏洞，但也需要及时修补；

2、爱尔兰国内还有上千台由Vodafone和其它ISP提供商管理使用的moderm仍然存在该漏洞；

3、Eir公司另一种型号调制解调器P-660HN-T1A_IPv6同样存在此漏洞；

4、利用shodan可以发现爱尔兰将近有70,378台此类moderm受该漏洞影响。