不需要密码！1.35亿调制解调器可远程出厂重置

全世界超过1.35亿个调制解调器容易受到一个漏洞的攻击，该漏洞可以通过切断互联网接入远程攻击，使其离线。

Arris冲浪板SB6141，用于数百万美国家庭。

安全研究员大卫·朗格内克发现了一个漏洞，使这些调制解调器容易受到未经验证的重新启动攻击。在阿里斯（前摩托罗拉）停止回应他之后，他也发布了自己的“漏洞”，尽管有一个负责任的披露。

这个Bug非常愚蠢：没有用户名和密码保护。

Arris不提供在调制解调器用户界面上设置的任何密码验证，因此允许任何本地攻击者访问192.168.100.1的管理web界面，而无需输入用户名和密码。

此问题允许本地攻击者重新启动电缆调制解调器'的管理界面的“配置页”https://192.168.100.1/，如图所示。这只不过是一场战争拒绝服务（DoS）攻击。

答对 了单击“重新启动电缆调制解调器” 手动将禁用受害者的调制解调器2到3分钟，网络上的每个设备都将无法访问互联网。

然而，三分钟没有互联网连接是可以忍受的，但同一个管理小组提供了一个选择恢复出厂设置也就是说，清除调制解调器的配置和设置。

如果攻击者单击此选项，您的调制解调器将脱机30分钟，因为重新配置过程需要一个小时才能完成。不过，有时候你需要打电话给你的朋友互联网服务提供商（ISP）重新激活调制解调器。

David透露，攻击者还可以远程重置调制解调器，因为应用程序无法验证重启或重置调制解调器命令是来自UI界面还是外部源。

这种远程攻击被称为跨站点请求伪造（CSRF）允许攻击者使用社会工程技术诱骗用户点击精心编制的网页或电子邮件的攻击。

例如：一个包含<；img src=”https://malicious_url/“>；标记可以调用以下任意URL：

“你知道吗，网络浏览器并不关心‘图像’文件是否真的是图像？”朗格内克解释道。“让调制解调器重新启动就像在您可能打开的任何其他网页中包含‘图像’一样简单。”

“当然，它不是一个真实的图像，但web浏览器在从调制解调器IP地址–；请求文件之前并不知道这一点，这当然会导致调制解调器重新启动。”

然而，这些缺陷很容易修补，只需要Arris创建固件更新，以便：

1. 用户界面需要身份验证（用户名和密码），然后才能允许他人重新启动或重置调制解调器。
2. UI验证请求是否源自应用程序而非外部源。

然而，坏消息是，这些缺陷没有实际的修复方法。由于有线调制解调器不是消费者可升级的，即使Arris发布了修复程序，您也需要等待您的ISP应用修复程序并将更新推送给您。

Arris最近通过固件更新解决了这些缺陷。

该公司发言人说：“我们正在与服务提供商客户合作，让订阅者可以使用该版本。”。

“不存在访问任何用户数据的风险，我们也不知道有任何漏洞。作为参考，1.35亿的数字并不是受影响单位的准确代表。这个问题影响到ARRIS冲浪板设备的一个子集。”