TP-Link TL-WR1043ND V2 sérülékenység
Angol cím: TP-Link TL-WR1043ND V2 vulnerability
CH azonosító: CH-14622
Publikálás dátuma: 2019.06.27.
Leírás
TP-Link TL-WR1043ND V2 router sérülékenysége vált ismertté, amelynek kihasználásával hitelesítő adatok nélkül elérhető minden beállítás.
Leírás forrása: Egyéb referencia: nvd.nist.govElemzés leírás
A támadó HTTP azonosító csomagban egy speciális cookie-t küldve a router webes konfigurációs felületére, teljes hozzáférést szerezhet az eszközhöz hitelesítés nélkül. Közbeékelődéses támadással könnyen megszerezhető minden adat. Ennek hátterében az áll, hogy az eszköz gyenge Base64 kódolást alkalmaz, amely rövid időn belül dekódolható. Nincs szükség az admin felhasználó adataira sem a sikeres támadáshoz, de a nem megfelelő adattárolás miatt megszerezhető minden felhasználó bejelentkezési neve és jelszava is.
A felhasználói neveket és a jelszavak MD5 hash alakját az eszköz kódolás nélkül tárolja (plain text formátum). Az MD5 hash brute force módszerrel, vagy szivárványtábla és szólista használatával feltörhető.
Érintett verzió: TP-Link TL-WR1043ND V2 router
Megoldás: Jelenleg nem létezik javítás a hibára, mivel a router terméktámogatása már nem biztosított, így lehetséges, hogy a jövőben sem lesz kijavítva. Amennyiben nem érhető el a későbbiekben javítás, a biztonsági rés csak az eszköz cseréjével orvosolható.
Elemzés leírás forrása: Egyéb referencia: github.comHatás
CVSS3 Súlyosság és Metrika
Base score: 9.8 (Kritikus)
Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Impact Score: 5.9
Exploitability Score: 3.9
Attack Vector (AV): Network
Attack Complexity (AC): Low
Privileges Required (PR): None
User Interaction (UI): None
Scope (S): Unchanged
Confidentiality Impact (C):
Integrity Impact (I):
Availability Impact (A):
CVSS2 Súlyosság és Metrika
Base score: 10.0 (Kritikus)
Vector: AV:N/AC:L/Au:N/C:C/I:C/A:C)
Impact Subscore: 10.0
Exploitability Subscore: 10.0
Access Vector (AV): Network
Access Complexity (AC): Low
Confidentiality Impact (C): Complete
Integrity Impact (S): Complete
Availability Impact (A):
Hivatkozások
CVE-2019-6971 - NVD CVE-2019-6971
https://nvd.nist.gov/vuln/detail/CVE-2019-6971
https://github.com/MalFuzzer/Vulnerability-Research/blob/master/TL-WR1043ND%20V2%20-%20TP-LINK/TL-WR1043ND_PoC.pdf
