Foro Wifi-libre.com

Se hace publica una brecha de seguridad en los routers Askey RTF3505VW, un modelo empleado por Telefónica en sus redes MOVISTAR_XXXX

Es la segunda vez que Leo Servalli encuentra una forma de obtener los "super poderes" en unos routers empleados por téléfonica.
La primera fue en un modelo en Mirastar, (consultar Peligro de puerta trasera en box fibra "Mitrastar" de Movistar) esta vez hablamos de un router Askey.
Este mismo:

Un router apto para fibra óptica con wifi ac.

   Veamos ahora cómo funciona el exploit:

   Por defecto el router ofrece acceso - mediante SSH - a una consola restringida (usuario support)   

  Podemos ver el modelo del router y...
... usar tcp_dump 
Si no sabes lo que es tcp-dump, es una herramienta muy potente que permite controlar una interfaz para capturar trafico
Hablamos de funciones "criticas" que siempre se protegen con privilegios "roots" ya que un usuario indeseable podría robar todo el trafico de todos los clientes.
Por la razón que sea, tcdump está incluido en esta shell SSH limitada.
Además, no procesa correctamente la opción -z (postrotate-command) de tcpdump
La opción es normalmente solo para iniciar un proceso secundario que comprime las capturas.
   Sin embargo en nuestro caso podemos usarla para inyectar comandos

- El exploit propuesto pasa un documento por la opción -z de tcpcump  que almacena en los ficheros /tmp (temporales RAM)
Y desde este fichero se inyectan las ordenes a ejecutar por tcpdump por el puerto 80 en el router (la interfaz web) 
Para ello (inyectar ordenes) los paquetes mandados por tcpdumd empiezan con 

 ";/bin/bash"

-  Acabaremos teniendo una consola zh reversa en el puerto 4444:

- Magia:
¡Somos "support" pero con privilegios "root"!

Podemos acceder a /etc y /var y mirar directo a todos los usuarios y sus credenciales.
Podemos modificar un usuario o añadir un usuario nuevo, o bien ir navegando por todo el sistema de fichero con la facultad de modificarlo...
  Los credenciales para acceder a la shell restringida cómo usuario "support" están en la etiqueta del router.
El autor del exploit señala que a veces se pueden usar credenciales genéricos.
Podemos ver efectivamente a un usuario con credenciales telefonica:telefonica   olvidado por ahí....
 
  Para más detalles, dirección la fuente:

• Privilege-escalation-ASKEY-Router-RTF3505VW-N1 by Leo Servalli @ Github

  Se puede descargar y probar el exploit desde el repositorio.
No es necesario si usas metasploit ya que está incluido,
Es un script bash que arrancaremos directamente desde la consola con derechos root y una vez que tenemos a tcpdump instalado.